iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 5篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 14:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Nvidia傳縮減DGX公雲組織配置轉為內部用途
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.theinformation.com/articles/nvidia-restructures-cloud-team-retreating-aws-competition" target="_blank">The Information報導</a>，Nvidia近日內部改組，縮減公雲部門DGX組織規模，以專注在晶片開發業務。</p> <p>報導引述消息人士指出，Nvidia並未完全裁撤DGX公雲部門，只是縮減人數，並將合併到Nvidia核心工程事業群下，由負責軟體工程的資深副總裁Dwight Diercks統率。而未來DGX雲的功用也轉為僅供內部工程師用於AI研究或軟、硬體開發及測試。</p> <p>報導並說，在稍早的財報中，Nvidia已不再單單強調對DGX Cloud基礎架構的支出，被認為在淡化它在外部營運的角色。</p> <p>Nvidia是在2023年<a href="https://nvidianews.nvidia.com/news/nvidia-launches-dgx-cloud-giving-every-enterprise-instant-access-to-ai-supercomputer-from-a-browser" target="_blank">推出</a>DGX Cloud服務。基本上該服務是架構在甲骨文Oracle Cloud、Microsoft Azure及Google Cloud上的雲服務，旨在讓企業客戶可以像租用AWS伺服器一樣租用Nvidia自己最強大的GPU（如H100 / Blackwell系列）與完整軟體堆疊來訓練與部署大型AI模型。Nvidia當時承諾可讓客戶避開GPU供不應求的情況，並且借由DGX Cloud提供「端到端」可控的AI計算環境。但由於Nvidia同時也向公雲業者，包括Amazon Web Services（AWS）銷售GPU，因此這服務意味著和AWS產生雲服務競爭。</p> <p>縮減DGX業務有助於避免和客戶的利益衝突，同時Nvidia可藉此專注於現今訂單接到手軟的AI晶片與硬體平臺，以及自家AI模型（如Isaac、Nemotron）和軟體工具（如CUDA）的開發。</p> <p><a href="https://www.nvidia.com/en-us/data-center/dgx-cloud-lepton/" target="_blank">Nvidia是否會持續DGX Cloud Lepton marketplace則不清楚</a>，這個GPU供應市集目的在讓企業用戶能透過Nvidia連接到合作的GPU雲供應商，而不是透過Nvidia自己營運完整公有雲，這更偏向和AWS、Azure及GCP等公雲平臺的生態整合策略。</p> </div></div></div>
2025/12/29 08:49作者林妍溱https://www.ithome.com.tw/news/173066
勒索軟體Everest駭客宣稱竊得克萊斯勒包含Salesforce等1TB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>操作勒索軟體Everest的駭客組織上周在聖誕節當天，於其暗網網站宣告成功入侵美國汽車大廠克萊斯勒（Chrysler）內部系統，竊走超過1TB資料。</p> <p><a href="https://hackread.com/everest-ransomware-group-chrysler-data-breach/" target="_blank">根據媒體發現到的公告</a>，遭駭客存取的資料庫內含1088 GB資料，當中包含超過105GB的Salesforce資料夾。資料庫內為2021年到2025年聖誕節的資料，像是個人個資如姓名、電話號碼、地址和電子郵件位址、客服人員工作記錄如召回事件筆記、聯繫紀錄（如語音留言、失聯、電話號碼有誤）、以及汽車狀態（如已銷售、維修、找不到車主）、開會預約等。</p> <p>駭客還公佈了數張Salesforce資料螢幕擷圖作為證明，顯示內部FTP檔案路徑、內部工具、經銷商名冊、召回方案等以及包含員工姓名、工作狀態的HR資料。</p> <p>不確定犯案時間，以及影響克萊斯勒哪個部門或地區的內部資料，或是本案和早前另一件Salesforce資料外洩是否有關。克萊斯勒母公司跨國汽車業巨擘Stellantis集團九月也曾<a href="https://www.ithome.com.tw/news/171342" target="_blank">公告遭駭</a>，外洩北美客戶資料。ShinyHunters向Bleeping Computer表示，宣稱從Stellantis的Salesforce竊走超過1,800萬筆紀錄，包含姓名、聯絡資訊等。</p> </div></div></div>
2025/12/29 09:06作者林妍溱https://www.ithome.com.tw/news/173067
【資安日報】12月26日，MongoDB呼籲用戶儘速修補可用於讀取記憶體內容的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173060"><strong style="font-size: 22px;">MongoDB呼籲IT人員儘速修補高風險資安漏洞</strong></a></p> <p>擁有眾多用戶的NoSQL資料庫管理系統MongoDB，其開發工程團隊近期發布資安公告，他們發布重大更新修補資安漏洞CVE-2025-14847，攻擊者可透過用戶端來觸發，此漏洞出現在MongoDB伺服器的zlib實作，可能在用戶未通過身分驗證的情況下，引發未初始化的記憶體堆疊問題，4.0版CVSS評分達到8.7分、3.1版CVSS風險評為7.5，呼籲用戶要儘速套用新版因應。</p> <p>這個漏洞發生的原因，在於zlib壓縮協定的標頭欄位長度不一致，未通過身分驗證的攻擊者能以此讀取未初始化的記憶體堆疊。此漏洞的影響範圍相當廣，涵蓋8.2.0至8.2.3版、8.0.0至8.0.16版、7.0.0至7.0.26版、6.0.0至6.0.26版、5.0.0至5.0.31版，以及MongoDB 4.4.0至4.4.29版MongoDB。除此之外，4.2版、4.0版，以及3.6版MongoDB Server，也受到影響。</p> <p>若是IT人員無法及時更新，開發工程團隊呼籲應停用MongoDB伺服器的zlib壓縮功能，做法是採用networkMessageCompressors或net.compression.compressors等壓縮器設定，重新啟動mongod或mongos處理程序。</p> <p><a href="https://www.ithome.com.tw/news/173059"><strong style="font-size: 22px;">Fortinet警示5年前公布的SSL VPN漏洞再遭積極利用</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2020-12812-ldap.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2020-12812-ldap.jpeg" style="width: 300px; float: right;" /></a></p> <p>12月24日Fortinet提出警告，他們偵測到於2020年7月修補的資安漏洞CVE-2020-12812遭到利用，攻擊者針對特定組態的防火牆設備FortiGate下手，從而繞過身分驗證機制，對此，該公司呼籲IT人員，應儘速清查設備是否遭到入侵。</p> <p>針對CVE-2020-12812，此為防火牆作業系統FortiOS的SSL VPN漏洞，起因是身分驗證機制不完整，攻擊者有機會透過更動使用者名稱的大小寫，而能用來繞過第二個環節的驗證程序（FortiToken），進而登入系統，影響執行6.4.0、6.2.0至6.2.3，以及6.0.9版以下FortiOS的設備，CVSS風險Fortinet評為5.2分，為中度風險；然而，其他公開弱點資料庫並不這麼認為，例如，美國國家漏洞資料庫（NVD）與網路安全暨基礎設施安全局（CISA）皆將這個弱點的嚴重性認定為重大層級，CVSS評分為9.8，CISA已於2021年11月3日，將此漏洞納入已遭利用的漏洞列表（KEV）。</p> <p>針對漏洞遭到利用的情況，Fortinet提及被針對的設備存在特定配置。首先，在FortiGate須設法設置雙因素驗證（2FA）的本機用戶帳號，攻擊者以此登入時，必須透過LDAP進行身分驗證，而且，此帳號也必須是LDAP某個群組（如：網域用戶、IT服務臺等）的成員。再者，就是這名使用者在FortiGate上，也與LDAP隸屬相同的群組，這個群組必須採用特定身分驗證政策，能被用於管理員登入、SSL VPN或IPsec VPN連線等。一旦符合上述條件，攻擊者就有機會使用大小寫不一致的使用者名稱，來觸發上述弱點，即便IT人員已設置了雙因素驗證，或是將帳號停用，只要攻擊者提供正確的密碼，就能通過身分驗證。</p> <p><a href="https://www.ithome.com.tw/news/173032"><strong style="font-size: 22px;">Linux核心首度出現Rust漏洞，恐導致系統當機</strong></a></p> <p>Linux核心近期修補一項重大資安漏洞CVE-2025-68260，這也是主線核心中首度正式指派給Rust程式碼的漏洞案例。該問題影響以Rust重寫的Android Binder模組，在特定條件下可能造成記憶體損毀，甚至引發系統當機。</p> <p>這項漏洞屬於競爭條件問題，發生於Rust Binder元件的death_list處理機制，相關程式碼位於drivers/android/binder/node.rs。Binder是Android系統中重要的行程間通訊（Inter-Process Communication，IPC）機制，因此該漏洞對系統穩定性具有實質影響。</p> <p>根據研究人員的分析，問題核心出在Node::release函式的鎖定流程設計。該函式會先取得鎖定，將共享連結串列中的元素移至暫時的本地堆疊，隨後提前釋放鎖定，再對本地清單進行處理。然而，在鎖定解除後、處理尚未完成的短暫時間內，其他執行緒仍可能同時操作原始清單的prev與next指標，進而產生競爭條件。</p> <p><a href="https://www.ithome.com.tw/news/173044"><strong style="font-size: 22px;">駭客平臺Anna's Archive聲稱搜刮Spotify近乎全部的歌曲</strong></a></p> <p>號稱是史上最大的開放資料庫Anna's Archive上周末宣稱，他們成功從音樂串流服務業者Spotify抓走約300 TB檔案，這些檔案包含2025年7月以前收錄平臺的2.56億首歌曲和音樂，以及1.86億條國際標準錄音錄影資料代碼（ISRC）。駭客宣稱，釋出的資料占Spotify所有歌曲的99.9%，而其備份的8,600萬個音樂檔案，資料量達300 TB，占比達99.6%。最受歡迎的10,000首歌曲已經以13.8MB的gzip檔格式釋出。駭客說，將分階段把Spotify資產，包括中繼資料（metadata）、音樂檔案、唱片專輯，以及作為重建原始檔案之用的.xstdpatch檔案開放。</p> <p>12月22日Spotify對媒體說明，駭客使用了第三方單位建立的帳號得逞，而非「駭入Spotify」。駭客違反該公司使用條款，竊走平臺某些音樂資料，時間約數個月，但是該公司未說明外洩資料的規模。該平臺強調，駭客並未竊取用戶資料，而且公開檔案前沒有聯繫他們。現在Spotify已經找到駭客用於資料竊取的檔案且加以關閉，他們也已經加入新的防護措施，持續監控可疑行動。</p> <p>AI Certs分析Anna's Archive的犯案手法。駭客是從Spotify API端點進行大規模網頁抓取，研究人員懷疑可能使用令牌收割（token harvesting）以繞過流量速限保護。而且駭客可能違法繞過了DRM防護而擷取了某些聲音檔。MalwareBytes分析，這事件可以說是產業規模內容竊取的教科書式案例，並警告如果有心人士駭入夠多合法帳號或建立看似合法的假帳號，長期而言就能削弱內容防護。</p> <p><a href="https://www.ithome.com.tw/news/172964"><strong style="font-size: 22px;">安裝數逾800萬的4款瀏覽器擴充程式驚傳攔截AI對話資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/693ffff7ef3550b5233c6773_Screenshot 2025-12-15 at 14_32_32.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/693ffff7ef3550b5233c6773_Screenshot%202025-12-15%20at%2014_32_32.png" style="width: 300px; float: right;" /></a></p> <p>專注於瀏覽器擴充程式與端點軟體的以色列資安業者Koi Security上周踢爆，有4款Chrome及Microsoft Edge擴充程式會監看、記錄並傳輸使用者與AI的對話。</p> <p>Koi Security共同創辦人暨技術長Idan Dardikman表示，他在使用AI助理時，忽然懷疑是否有人會窺探這些對話，於是使用代理式AI風險引擎Wings，掃描是否有瀏覽器擴充套件具備讀取並外傳AI聊天內容的能力，原本以為只會找到少數下載量不高且來源可疑的工具，結果卻發現由Urban Cyber Security所開發的4款擴充程式，會蒐集使用者與AI聊天機器人的對話，再提供給資料經紀商BiScience進行分析及轉售。</p> <p>這4款擴充程式分別是Urban VPN Proxy、1ClickVPN Proxy、Urban Browser Guard，以及Urban Ad Blocker，它們分別在Chrome及Microsoft Edge的擴充程式商店上架，名義上為VPN、瀏覽器防護與廣告封鎖工具，實際上卻共用一套監控後端。其中，Urban VPN Proxy在Chrome與Edge上分別有600萬及132萬名用戶，1ClickVPN Proxy分別有60萬與3.6萬名用戶，Urban Browser Guard有4萬及1.3萬名用戶，Urban Ad Blocker也各自擁有1萬及逾6,000名用戶，總計安裝數量超過800萬。</p> <p><a href="https://www.ithome.com.tw/news/173014"><strong style="font-size: 22px;">微軟釋出硬體加速的BitLocker，減少拖慢PC效能並強化安全性</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2025-12-18 131458.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202025-12-18%20131458.png" style="width: 300px; float: right;" /></a></p> <p>微軟宣布推出硬體加速的BitLocker，取代CPU加速，以提升Windows 11機器的運作效能，並減少金鑰曝露風險。新功能已於9月加入Windows 11 24H2與25H2，並計畫藉由新一代CPU與SoC，普及到次世代PC。</p> <p>新BitLocker有兩項重大變革：一是將加密工作從CPU卸載到專用加密引擎上，以便主要CPU資源能用於主要任務需求，提升效能及減少電力耗用。第二是金鑰由硬體防護。如果機器的SoC晶片支援，BitLocker可自動切換，將加密金鑰交由硬體層隔離與封裝，以免其曝露於CPU及記憶體，可降低旁路攻擊及記憶體漏洞曝露金鑰的風險。微軟表示，這是在受信任平臺模組（Trusted Platform Module，TPM）外的新一層安全機制。</p> <p>要在Windows電腦啟用BitLocker有幾種作法，除手動啟動，亦能透過政策或是指令碼（script）。若搭載NVMe磁碟的電腦晶片支援，Windows就會預設使用新的硬體加速BitLocker和TS-AES-256演算法。</p> <p><a href="https://www.ithome.com.tw/news/173031"><strong style="font-size: 22px;">Roundcube修補高風險資安漏洞，恐危及網頁郵件隱私</strong></a></p> <p>近日Roundcube專案團隊發布安全更新，針對1.6與1.5 LTS版本修補兩項高風險資安漏洞，可能讓攻擊者透過看似正常的電子郵件執行惡意指令碼，或外洩使用者的敏感資訊。</p> <p>兩項漏洞的CVSS風險評分皆為7.2，屬於高風險等級，其中CVE-2025-68461屬於跨站腳本攻擊（XSS）漏洞，問題出在Roundcube處理可縮放向量圖形（SVG）檔案的方式。該漏洞由CrowdStrike研究人員Valentin T.發現，攻擊者可利用SVG中的<animate>標籤，製作特製的惡意圖片。</p> <p>另一項漏洞則是涉及資訊揭露問題，編號為CVE-2025-68460，存在於Roundcube的HTML樣式過濾機制中。該漏洞由研究人員somerandomdev通報，攻擊者可藉此繞過既有的CSS樣式過濾規則，可能被濫用來推測或外洩網頁郵件介面中的資料，進而影響使用者的隱私安全。</p> <p><a href="https://www.ithome.com.tw/news/173030"><strong style="font-size: 22px;">Kibana出現高風險XSS漏洞，多個版本恐遭惡意指令碼攻擊</strong></a></p> <p>Elastic在12月19日發布資安公告，說明Kibana存在一項高風險資安漏洞，可能讓已通過驗證的攻擊者，在其他使用者瀏覽的網頁內容中植入並執行惡意指令碼。該漏洞編號為CVE-2025-68385，屬於高風險等級（CVSS分數7.2）。</p> <p>Elastic表示，問題出在Kibana用來顯示圖表的Vega視覺化元件。系統在產生網頁內容時，沒有仔細檢查使用者輸入的內容，讓攻擊者有機會把惡意指令碼藏進圖表中。當其他人開啟這些圖表時，瀏覽器就會執行惡意指令碼，可能導致帳號資訊或重要資料被竊取。</p> <p>CVE-2025-68385被歸類為CWE-79的跨站腳本攻擊（XSS）手法，雖然攻擊者必須通過身分驗證，但影響範圍不僅限於單一帳號，惡意內容可擴散至同一Kibana實例中的多名使用者，對資料機密性與完整性構成威脅。</p> <p><a href="https://www.ithome.com.tw/news/172885"><strong style="font-size: 22px;">FIDO在臺落地規模擴大，逾300個政府與企業系統支援，Passkey體驗成下一步關鍵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7B）FIDO 2025年底最新進展_臺灣支援FIDO與Passkey現況_攝影羅正漢.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967B%EF%BC%89FIDO%202025%E5%B9%B4%E5%BA%95%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95_%E8%87%BA%E7%81%A3%E6%94%AF%E6%8F%B4FIDO%E8%88%87Passkey%E7%8F%BE%E6%B3%81_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 300px; float: right;" /></a>隨著FIDO、Passkey技術應用升溫，為促進臺灣與國際間的技術交流，在12月初，FIDO聯盟與FIDO聯盟臺灣分會特別舉辦研討會，揭露最新成果，例如，Passkey在短短3年內，從無到有累積至約35至40億個活躍帳號，展現前所未見的採用速度，同時FIDO聯盟臺灣分會會長張心玲也公開臺灣的FIDO採用現況。</p> <p>對於產業應用態勢，他指出，今年Passkey推動上出現兩大重要變化。首先，是銀行與金融業的快速採用。進入2025年，他觀察到越來越多國際金融機構，包括澳洲、紐西蘭、歐洲、美國及臺灣的多家指標性銀行，已將Passkey納入用戶登入選項。</p> <p>其次，是政府端擴大採用與監管政策的推動。早期Passkey多由電子商務、內容平臺與支付服務引領，如今受監管產業的全面加入，象徵著技術落地的關鍵轉折。包含臺灣、澳洲、美國、英國與德國在內的多國政府，不僅在公共服務中導入Passkey，也更進一步應用於內部的員工身分驗證系統。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=152737&SPOKE_DATE=20251224&COMPANY_ID=3023"><strong style="font-size: 22px;">信邦集團與海外子公司部分資訊系統遭網路攻擊</strong></a></p> <p>製作連接線組與連接器的電子零件整合設計暨製造商信邦於12月24日發布資安重訊，表明他們偵測到有部分資訊系統遭網路攻擊，資安部門立即啟動相關資安防禦與系統復原，委請外部資安技術公司共同處理，目前資訊系統正陸續恢復。根據初步調查結果，對於公司營運、資訊安全，以及個資無重大影響。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-mas-windows-activation-domain-used-to-spread-powershell-malware/">惡意程式Cosmali Loader假借提供非法Windows啟用工具散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/evasive-panda-apt/">駭客組織Evasive Panda透過AiTM網釣與DNS中毒散布惡意軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/12/cisa-flags-actively-exploited-digiever.html">CISA警告永恒數位旗下的NVR設備已知漏洞遭積極利用</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/173025"><strong>【12月24日】南陽實業傳出駭客向車主寄簡訊，聲稱個資已外流</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172989"><strong>【12月23日】中國駭客Ref7707將攻擊範圍延伸至歐洲</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172969"><strong>【12月22日】中國駭客透過GPO於日本與東南亞政府機關部署惡意軟體</strong></a></p> </div></div></div>
2025/12/26 16:32作者周峻佑https://www.ithome.com.tw/news/173061
Fortinet警示5年前公布的SSL VPN漏洞再遭積極利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安公司Fortinet在12月例行更新當中，修補<strong><a href="https://www.ithome.com.tw/news/172750">重大層級的漏洞CVE-2025-59718及CVE-2025-59719</a></strong>引起高度關注，事隔3天<a href="https://www.ithome.com.tw/news/172862">傳出有人用於實際攻擊</a>，本週該公司指出，有個5年前的資安漏洞，近期再度出現漏洞利用的情況而成為焦點。</p> <p>12月24日Fortinet提出警告，<strong><a href="https://www.fortinet.com/blog/psirt-blogs/product-security-advisory-and-analysis-observed-abuse-of-fg-ir-19-283">他們偵測到於2020年7月修補的資安漏洞CVE-2020-12812遭到利用</a></strong>，攻擊者針對特定組態的防火牆設備FortiGate下手，從而繞過身分驗證機制，對此，該公司呼籲IT人員，應儘速清查設備是否遭到入侵。</p> <p>針對CVE-2020-12812，此為防火牆作業系統FortiOS的SSL VPN漏洞，起因是身分驗證機制不完整，攻擊者有機會透過更動使用者名稱的大小寫，而能用來繞過第二個環節的驗證程序（FortiToken），進而登入系統，影響執行6.4.0、6.2.0至6.2.3，以及6.0.9版以下FortiOS的設備，CVSS風險Fortinet評為5.2分，為中度風險；然而，其他公開弱點資料庫並不這麼認為，例如，美國國家漏洞資料庫（NVD）與網路安全暨基礎設施安全局（CISA）<strong><a href="https://nvd.nist.gov/vuln/detail/cve-2020-12812">皆將這個弱點的嚴重性認定為重大層級</a></strong>，CVSS評分為9.8，CISA已於2021年11月3日，將此漏洞納入已遭利用的漏洞列表（KEV）。</p> <p>針對漏洞遭到利用的情況，Fortinet提及被針對的設備存在特定配置。首先，在FortiGate須設法設置雙因素驗證（2FA）的本機用戶帳號，攻擊者以此登入時，必須透過LDAP進行身分驗證，而且，此帳號也必須是LDAP某個群組（如：網域用戶、IT服務臺等）的成員。再者，就是這名使用者在FortiGate上，也與LDAP隸屬相同的群組，這個群組必須採用特定身分驗證政策，能被用於管理員登入、SSL VPN或IPsec VPN連線等。</p> <p>一旦符合上述條件，攻擊者就有機會使用大小寫不一致的使用者名稱，來觸發上述弱點。以名稱為jsmith的使用者為例，若是攻擊者輸入Jsmith、jSmith，或JSmith，由於FortiGate不會將登入資料與本機使用者進行比對，就可能尋找次要組態設定的群組（如Auth-Group），嘗試取得LDAP伺服器的資訊。即便IT人員已設置了雙因素驗證，或是將帳號停用，只要攻擊者提供正確的密碼，就能通過身分驗證。</p> <p>對於防範上述的漏洞利用行為，IT人員應依照<strong><a href="https://www.fortiguard.com/psirt/FG-IR-19-283">FG-IR-19-283</a></strong>套用相關更新，若是無法升級，必須在所有FortiGate本機帳號當中，停用相關設定；此外，假如企業組織不需要備援的LDAP群組，也最好將其移除。</p> </div></div></div>
2025/12/26 15:16作者周峻佑https://www.ithome.com.tw/news/173059
MongoDB呼籲IT人員儘速修補高風險資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>擁有眾多用戶的NoSQL資料庫管理系統MongoDB，其開發工程團隊近期發布資安公告，<strong><a href="https://jira.mongodb.org/browse/SERVER-115508">他們發布重大更新修補資安漏洞CVE-2025-14847</a></strong>，攻擊者可透過用戶端來觸發，此漏洞出現在MongoDB伺服器的zlib實作，可能在用戶未通過身分驗證的情況下，引發未初始化的記憶體堆疊問題，<strong><a href="https://nvd.nist.gov/vuln/detail/CVE-2025-14847">4.0版CVSS評分達到8.7分、3.1版CVSS風險評為7.5</a>，呼籲用戶要儘速套用新版因應</strong>。</p> <p>這個漏洞發生的原因，在於zlib壓縮協定的標頭欄位長度不一致，未通過身分驗證的攻擊者能以此讀取未初始化的記憶體堆疊。此漏洞的影響範圍相當廣，涵蓋8.2.0至8.2.3版、8.0.0至8.0.16版、7.0.0至7.0.26版、6.0.0至6.0.26版、5.0.0至5.0.31版，以及MongoDB 4.4.0至4.4.29版MongoDB。除此之外，4.2版、4.0版，以及3.6版MongoDB Server，也受到影響。</p> <p>若是IT人員無法及時更新，開發工程團隊呼籲應停用MongoDB伺服器的zlib壓縮功能，做法是採用networkMessageCompressors或net.compression.compressors等壓縮器設定，重新啟動mongod或mongos處理程序。</p> </div></div></div>
2025/12/26 16:11作者周峻佑https://www.ithome.com.tw/news/173060
LLM調度框架LangChain核心元件序列化注入漏洞，可能導致環境變數機密外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>知名大型語言模型調度開源框架LangChain團隊發布安全通報，揭露核心套件langchain-core存在序列化注入漏洞<a href="https://github.com/advisories/GHSA-c67j-w6g6-q2cm">CVE-2025-68664</a>，該漏洞CVSS 3.1基礎分數為9.3，屬重大等級。受影響版本為langchain-core小於0.3.81，或介於1.0.0以上且低於1.2.5。官方已釋出修補版本0.3.81與1.2.5，並同步收緊load()與loads()的預設行為，以降低誤用風險。</p> <p>漏洞出在langchain-core本身的dumps與dumpd序列化功能。LangChain有一套內部資料格式，會用lc這個保留欄位來標記這段資料可以在之後被還原成LangChain物件。官方指出，問題在於dumps()與dumpd()在序列化一般字典資料時，沒有妥善處理剛好含有lc欄位的外部可控內容。結果是這些資料在後續經由load()或loads()還原時，可能被當成真正的LangChain物件來建立，進而引發安全風險。</p> <p>官方指出，較常見的風險並非攻擊者直接提供序列化內容要求系統載入，而是大型語言模型回應中的欄位，可能在提示詞注入影響下，被引導生成攻擊者想要的內容或結構，例如metadata、additional_kwargs或response_metadata等。當這些欄位經由框架既有流程被序列化，並在串流事件或日誌等路徑於後續階段再度還原，就可能跨越開發者原先假設的信任邊界，形成可被利用的注入點。</p> <p>就可能造成的後果而言，其一是環境變數機密外洩，當反序列化在secrets_from_env選項啟用的情況下，攻擊者要是能讓注入結構被還原，就有機會從環境變數取得機密資料。其二是不安全物件實例化，雖然LangChain對可還原的類別採取命名空間限制，但仍可能在既有受信任命名空間內實例化Serializable子類別，當建構流程伴隨網路呼叫或檔案操作等副作用，將擴大安全風險。 </p> <p>LangChain在本次修補中，除了補上序列化跳脫缺口，也一併收緊load()與loads()的預設行為。官方解釋，新版引入更嚴格的允許清單策略，並將secrets_from_env預設由True改為False，同時以init_validator預設阻擋Jinja2樣板等高風險初始化行為。官方也提醒這些變更對少數使用情境可能屬破壞性調整，使用者需留意相依程式碼是否仰賴舊預設。 </p> <p>LangChain在JavaScript版本也發布了相似機制的漏洞安全通報<a href="https://github.com/advisories/GHSA-r399-636x-v7f6">CVE-2025-68665</a>，指出toJSON未跳脫含lc鍵的使用者可控物件，可能在後續load()時造成環境變數機密外洩與不安全實例化，並將secretsFromEnv明確改為預設false，以降低環境變數機密外洩與不安全實例化風險。</p> </div></div></div>
2025/12/26 15:07作者李建興https://www.ithome.com.tw/news/173052
瀏覽器引擎WebKit引入CSS Grid Lanes，瀑布流排版走向原生CSS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>開源瀏覽器引擎WebKit團隊提出<a href="https://webkit.org/blog/17660/introducing-css-grid-lanes/">CSS Grid Lanes</a>，試圖把長期依賴JavaScript函式庫才能穩定完成的瀑布流（Waterfall）排版配置，放進瀏覽器原生的CSS版面配置能力之中。該設計以新增的display:grid-lanes為入口，讓開發者沿用既有CSS Grid的軌道（Grid Track）定義語法來描述欄或列，再交由瀏覽器負責自動放置不同高度的內容項目。目前功能已可在Apple Safari技術預覽234版進行測試。</p> <p>WebKit在說明中將Grid Lanes定位為瀑布流的下一步，並提到這套做法以Mozilla與WebKit之前的投入作為基礎，同時也經過CSS工作小組與各家瀏覽器多輪討論後，逐步收斂出較明確的運作方式。</p> <p>W3C發布<a href="https://www.w3.org/TR/css-grid-3/">CSS Grid Layout Module Level 3工作草案</a>，文件把grid-lanes與inline-grid-lanes納入display屬性的新值，並定義Grid Lanes的版面配置模型與相關行為。</p> <p>WebKit特別把可用性與可存取性納入討論，由於傳統瀑布流常見的問題是視覺順序與鍵盤導覽順序不一致，使用者按Tab時可能一路走到第一欄底部，才跳回第二欄頂端，閱讀與操作感受不連續。Grid Lanes的目標是在保留瀑布流排版視覺密度的同時，讓使用者能更自然地以鍵盤在目前可見內容之間移動，也降低過去為了量測內容高度與決定放置位置而必須用JavaScript介入排版的需求。</p> <p>為了減少瀑布流因微小高度差而頻繁換欄，造成視覺跳動與導覽上的困惑，WebKit提出item-tolerance，讓瀏覽器在選擇下一個項目落點時，把高度差距小到一定程度的候選欄位視為同一級距，避免因細微差異而做出讓人意外的換欄決策。這個屬性在規格與Safari技術預覽234版目前採用item-tolerance命名，且預設以1 em作為判斷接近程度的基準，但WebKit也提醒名稱仍可能調整。</p> <p>W3C的工作草案也討論了相容性上的自然降級。文件範例指出，作者可先宣告display:grid再宣告display:grid-lanes，在不支援Grid Lanes的使用者代理程式中，後者會被忽略，版面仍會以一般Grid呈現，只是可能出現較多垂直方向空隙。該寫法讓團隊能以較低風險方式，在支援環境中逐步啟用新能力，同時保留可接受的降級呈現。</p> <p>現階段Grid Lanes仍處於工作草案與技術預覽版可測的階段，細節包含命名與部分行為仍可能調整。</p> </div></div></div>
2025/12/26 15:25作者李建興https://www.ithome.com.tw/news/173054
Kotlin 2.3.0強化多平臺工具鏈，JVM支援Java 25並提升Wasm原生互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>JetBrains釋出<a href="https://kotlinlang.org/docs/whatsnew23.html">Kotlin 2.3.0</a>，該版本更新重點在於語言功能的穩定與多平臺工具鏈進展，涵蓋JVM、原生、WebAssembly與JavaScript等目標。此版本一方面讓部分語言能力走向更明確的預設行為與穩定狀態，另一方面也帶來跨平臺互通、建置效率與相容性相關的更新，協助開發者在不同執行環境間維持一致的開發與部署節奏。</p> <p>Kotlin 2.3.0將巢狀型別別名，以及when表達式的資料流窮盡性（Exhaustiveness）檢查提升為穩定功能，同時把表達式主體且明確回傳型別的函式可使用return陳述式，調整為預設行為。由於要降低開發時因忽略函式回傳結果而意外犯錯的風險，官方新增未使用回傳值檢查器與相關註記，用於提示回傳值未被使用的情況。</p> <p>另一方面，2.3.0也提供仍屬實驗性的明確後備欄位語法，讓屬性在對外暴露型別與內部實作型別不同的情境下，可以用更直接的方式表達與維護。至於情境式解析功能，官方仍持續修正其解析範圍與判定方式，並在可能造成歧義的情況下加入警告提示。</p> <p>在Kotlin/JVM方面，2.3.0開始支援產生Java 25位元碼。Kotlin原生端則強化與Swift的互通能力，透過Swift匯出機制新增對原生列舉與可變參數的支援，同時把C與Objective-C函式庫匯入推進到Beta測試階段，並改善正式發布Release建置效能。JetBrains也同步調高iOS、tvOS與watchOS的最低支援版本，並將多個x86_64的Apple目標下調至較低支援等級，對仍依賴Intel目標的專案，需要及早盤點後續維護與搬遷規畫。</p> <p>Kotlin WebAssembly方面，2.3.0預設啟用KClass.qualifiedName，讓完整類別名稱可在執行期取得，藉此減少從JVM搬遷到WebAssembly時在診斷與程式行為上的落差。至於例外處理機制，2.3.0僅在wasmWasi目標預設採用新版WebAssembly例外處理提案，wasmJs目標仍維持預設關閉，必要時可透過編譯器選項啟用。</p> <p>Kotlin JavaScript則新增兩項面向互通的變更，包含實驗性支援將suspend函式直接匯出給JavaScript使用，以及以BigInt64Array表示LongArray的選項，方便對接偏好型別化陣列的JavaScript API。</p> <p>工具鏈方面，Kotlin 2.3.0宣布完全相容於軟體建置工具Gradle 7.6.3至9.0.0，並新增用於註冊生成程式碼來源的Gradle API，目標是讓IDE更容易區分生成程式碼與手寫程式碼。支援2.3.0的Kotlin外掛已隨最新版IntelliJ IDEA與Android Studio提供，標準函式庫也把時間追蹤能力提升為穩定，並擴充仍屬實驗的UUID（Universally Unique Identifier）生成與解析。</p> </div></div></div>
2025/12/26 15:38作者李建興https://www.ithome.com.tw/news/173057
舊金山停電，Waymo無人車阻斷交通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國太平洋瓦斯電力公司（PG&E）位於舊金山的變電站12月20日發生火災，造成舊金山出現大規模停電，影響全市近三分之一地區用電，多處主要道路交通號誌同時失效，市區交通一度陷入混亂。停電期間，亦傳出Waymo無人駕駛計程車停留在十字路口，進一步加劇道路壅塞，<a href="https://waymo.com/blog/2025/12/autonomously-navigating-the-real-world" target="_blank">Waymo隨後暫停在舊金山的服務</a>。</p> <p>在停電期間，多輛Waymo無人計程車被拍到停在街道與路口中央，後方車流回堵，引發民眾與駕駛不滿。<a href="https://x.com/ArthurSXAI/status/2002813776416911868" target="_blank">社群平臺流傳的畫面</a>顯示，部分路口同時有多輛Waymo車輛停留原地。舊金山是Waymo自駕計程車的重要營運城市，外界估計當地約部署1,000輛Waymo車輛。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/20Xhfn-uMlo?si=TujRhWrL8Fqm052n" title="YouTube video player" width="560px"></iframe></div> <p>Waymo於周二（12/23）說明，應對如此大規模的事件對自動駕駛技術而言是一項獨特挑戰。Waymo Driver在設計上，會將熄燈的交通號誌視為四向停車路口，但在部分情況下仍會請求後端確認，以確保做出最安全的選擇。</p> <p>Waymo表示，其無人駕駛計程車於20日當天成功通過超過7,000個號誌失效的路口，但此次停電導致確認請求短時間內激增，形成積壓，部分車輛因此停留時間拉長，加劇了擁塞情況。為避免進一步影響交通，Waymo隨後暫停營運，並指示車隊靠邊停放，確保緊急車輛優先通行。</p> <p>Waymo也指出，事件發生後已整合更多停電相關資訊，更新緊急準備與應變機制，並擴大與第一線緊急應變人員的合作。</p> <p>多家外媒指出，Waymo無人計程車在營運中仍需人力支援處理物理問題，例如乘客下車後未關好車門，或車輛無法自行復位。Waymo透過第三方平臺召集支援人員到場，手動關門的報酬約22至24美元，拖吊車輛的費用約60至80美元。此次舊金山停電導致交通混亂，也放大這類人力需求，凸顯無人車營運仍存在不可忽視的人力成本。</p> <p>另一方面，Waymo主要競爭對手特斯拉（Tesla）執行長<a href="https://x.com/undercoverwhale/status/2002775975214629297" target="_blank">馬斯克（Elon Musk）則表示</a>，舊金山停電並未影響特斯拉的Robotaxi服務。不過，目前特斯拉Robotaxi仍須配備人類監督員，尚未以完全無人形式營運。</p> </div></div></div>
2025/12/26 14:44作者陳曉莉https://www.ithome.com.tw/news/173056
Roundcube修補高風險資安漏洞，恐危及網頁郵件隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>知名開放原始碼網頁郵件專案Roundcube，提供類似桌面郵件軟體的操作介面，具備多語系、通訊錄、郵件搜尋、外掛擴充等功能，廣泛被企業、學術機構與主機服務商採用，作為自架電子郵件系統的網頁前端。由於受到各界採用的規模龐大，其資安風險一旦曝光，影響範圍往往不容小覷。</p> <p>近日Roundcube專案團隊<a href="https://roundcube.net/news/2025/12/13/security-updates-1.6.12-and-1.5.12" target="_blank">發布安全更新</a>，針對1.6與1.5 LTS版本修補兩項高風險資安漏洞，可能讓攻擊者透過看似正常的電子郵件執行惡意指令碼，或外洩使用者的敏感資訊。</p> <p><a href="http://roundcube.net/news/2025/12/13/security-updates-1.6.12-and-1.5.12" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1225-Security%20updates%201_6_12%20and%201_5_12%20released.png" style="width: 500px;" /></a></p> <p>兩項漏洞的CVSS風險評分皆為7.2，屬於高風險等級，其中<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-68461" target="_blank">CVE-2025-68461</a>屬於跨站腳本攻擊（XSS）漏洞，問題出在Roundcube處理可縮放向量圖形（SVG）檔案的方式。該漏洞由CrowdStrike研究人員Valentin T.發現，攻擊者可利用SVG中的<animate>標籤，製作特製的惡意圖片。</p> <p>在實際攻擊情境中，只要使用者於網頁郵件介面中開啟含有惡意SVG的電子郵件，瀏覽器便可能立即執行JavaScript惡意指令碼。在網頁郵件服務中，XSS漏洞的危害尤為嚴重，常被用來竊取連線階段Cookie、進行帳號劫持，甚至在使用者不知情的情況下重新導向至釣魚網站。</p> <p>另一項漏洞則是涉及資訊揭露問題，編號為<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-68460" target="_blank">CVE-2025-68460</a>，存在於Roundcube的HTML樣式過濾機制中。該漏洞由研究人員somerandomdev通報，攻擊者可藉此繞過既有的CSS樣式過濾規則，可能被濫用來推測或外洩網頁郵件介面中的資料，進而影響使用者的隱私安全。</p> <p>Roundcube開發團隊建議管理員立即升級至1.6.12或1.5.12版，以封堵潛在攻擊途徑，降低系統遭到入侵或資料外洩的風險。</p> <p>網頁郵件服務向來是跨站腳本攻擊（XSS）的高風險目標，主因在於其必須在瀏覽器中動態顯示來自外部來源的內容，包括HTML郵件、圖片、附件預覽與內嵌樣式等。即使系統本身未遭入侵，攻擊者仍可透過電子郵件這類「可信輸入管道」，將惡意內容直接送入使用者的瀏覽器環境。</p> </div></div></div>
2025/12/26 11:12作者王珮瑤https://www.ithome.com.tw/news/173031
Linux核心首度出現Rust漏洞，恐導致系統當機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Linux核心近期修補<a href="https://lore.kernel.org/all/2025121614-CVE-2025-68260-558d@gregkh/" target="_blank">一項重大資安漏洞CVE-2025-68260</a>，這也是主線核心中首度正式指派給Rust程式碼的漏洞案例。該問題影響以Rust重寫的Android Binder模組，在特定條件下可能造成記憶體損毀，甚至引發系統當機。</p> <p><a href="http://lore.kernel.org/all/2025121614-CVE-2025-68260-558d@gregkh/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1225-CVE-2025-68260-linux.png" style="width: 600px;" /></a></p> <p>這項漏洞屬於競爭條件問題，發生於Rust Binder元件的death_list處理機制，相關程式碼位於drivers/android/binder/node.rs。Binder是Android系統中重要的行程間通訊（Inter-Process communication，IPC）機制，因此該漏洞對系統穩定性具有實質影響。</p> <p>根據研究人員的分析，問題核心出在Node::release函式的鎖定流程設計。該函式會先取得鎖定，將共享連結串列中的元素移至暫時的本地堆疊，隨後提前釋放鎖定，再對本地清單進行處理。然而，在鎖定解除後、處理尚未完成的短暫時間內，其他執行緒仍可能同時操作原始清單的prev與next指標，進而產生競爭條件。</p> <p>一旦這種狀況發生，連結串列的指標結構可能遭到破壞，導致記憶體損毀。實務上，該漏洞最直接的後果是核心崩潰（Kernel Panic），系統紀錄中可能出現「Unable to handle kernel paging request」等錯誤訊息，造成設備非預期重新開機或服務中斷，對企業環境與關鍵系統風險尤高。</p> <p>Linux核心CVE團隊指出，該漏洞是在Linux核心6.18版本中引入，源自一筆更新Binder程式碼的提交，但當時未妥善處理同步機制。相關問題已在後續版本中完成修補，包括Linux核心6.18.1與6.19-rc1。</p> <p>修補方式是重新設計Node::release的處理流程，改為直接從原始清單中取出元素，完全移除中介的暫時堆疊清單，以避免在鎖定解除後仍存取共享資料結構。</p> <p>Linux核心CVE團隊強烈建議使用者直接升級至最新的穩定版核心。官方也提醒，由於單一修補並未獨立測試，不建議僅選擇性套用特定提交。若短期內無法進行完整升級，管理人員可考慮從上游核心穩定分支套用相關修補，作為暫時因應措施，以降低系統當機風險。</p> <p><span style="font-size:22px;"><span style="color:#FFFF00;"><strong><span style="background-color:#000000;"> 為何這起Rust漏洞具有指標意義 </span></strong></span></span></p> <p><span style="color:#696969;"><strong>這次事件再次提醒，Rust雖然具備記憶體安全方面的語言優勢，但並非「零漏洞保證」，仍需要嚴謹的設計與持續更新，才能真正發揮安全效益。</strong></span></p> <p><span style="color:#696969;"><strong>不過，<a href="https://www.ithome.com.tw/news/172247" target="_blank">從Android團隊在系統層大量導入Rust的經驗來看</a>，Rust在降低風險方面仍展現明顯成效。根據Android團隊統計，Rust程式碼的記憶體安全漏洞密度約為每百萬行0.2個，相較之下，C與C++程式碼歷年平均約為每百萬行1,000個，兩者差距接近千倍。</strong></span></p> <p><span style="color:#696969;"><strong>Android團隊也指出，重點不在於是否「完全沒有漏洞」，而是在於能否大幅降低漏洞出現的頻率與密度，而這正是Rust在系統層程式開發上的核心價值。</strong></span></p> </div></div></div>
2025/12/26 11:28作者王珮瑤https://www.ithome.com.tw/news/173032
Kibana出現高風險XSS漏洞，多個版本恐遭惡意指令碼攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Elastic在12月19日發布<a href="https://discuss.elastic.co/t/kibana-8-19-9-9-1-9-and-9-2-3-security-update-esa-2025-34/384182" target="_blank">資安公告</a>，說明Kibana存在一項高風險資安漏洞，可能讓已通過驗證的攻擊者，在其他使用者瀏覽的網頁內容中植入並執行惡意指令碼。該漏洞編號為<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-68385" target="_blank">CVE-2025-68385</a>，屬於高風險等級（CVSS分數7.2）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1225-Kibana%20Security%20Update-ESA-2025-34.png" style="width: 500px;" /></p> <p>Kibana是Elastic旗下的重要產品，也是Elastic Stack（ELK）中的核心視覺化與分析工具，廣泛用於日誌管理、資安監控、應用效能管理（APM）及即時資料分析。許多企業仰賴Kibana來視覺化Elasticsearch中的大量資料，並透過儀表板即時掌握系統與業務狀態。</p> <p>Elastic表示，問題出在Kibana用來顯示圖表的Vega視覺化元件。系統在產生網頁內容時，沒有仔細檢查使用者輸入的內容，讓攻擊者有機會把惡意指令碼藏進圖表中。當其他人開啟這些圖表時，瀏覽器就會執行惡意指令碼，可能導致帳號資訊或重要資料被竊取。</p> <p>CVE-2025-68385被歸類為<a href="https://cwe.mitre.org/data/definitions/79.html" target="_blank">CWE-79</a>的跨站腳本攻擊（Cross-site Scripting，XSS）手法，雖然攻擊者必須通過身分驗證，但影響範圍不僅限於單一帳號，惡意內容可擴散至同一Kibana實例中的多名使用者，對資料機密性與完整性構成威脅。</p> <p>受影響的Kibana版本涵蓋範圍廣泛，包括7.x分支的所有版本；8.x系列中，8.0.0至8.19.8版本皆存在漏洞；9.x分支則影響9.0.0至9.1.8，以及9.2.0至9.2.2等版本。</p> <p>Elastic已發布修補版本，要求用戶立即升級至Kibana 8.19.9、9.1.9或9.2.3。上述版本已修正Vega視覺化元件中的輸入處理問題，補全XSS防護機制。</p> <p>Elastic提醒，資安團隊應儘速完成Kibana環境的修補作業，並檢視系統是否存在已驗證使用者建立的可疑視覺化內容。在完成升級前，建議透過網路分區、限制存取對象等方式，降低潛在風險。</p> </div></div></div>
2025/12/26 10:27作者王珮瑤https://www.ithome.com.tw/news/173030
巴西跟進歐盟，要求蘋果放寬App Store限制並開放第三方市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.gov.br/cade/pt-br/assuntos/noticias/cade-forma-maioria-pela-homologacao-de-tcc-em-investigacao-sobre-praticas-da-apple-no-ios" target="_blank">巴西正式跟進歐盟腳步</a>，要求蘋果放寬iOS生態系中對App Store的多項限制。巴西反壟斷機關Administrative Council for Economic Defense（CADE）近日形成多數意見，原則上同意蘋果在反競爭調查案中提出的和解方案，要求其允許第三方程式市集、App側載，以及在App Store以外完成數位內容付費，否則最高將面臨1.5億Brazilian reais（BRL）（約3,000萬美元）的罰款。</p> <p>根據CADE公布內容，蘋果必須放寬對iOS應用程式散布與支付流程的控制。具體措施包括允許開發人員在App內或App外導引使用者前往外部平臺完成交易，不再強制使用蘋果的App內部購買（IAP）系統，並開放替代支付方式與蘋果既有方案並列呈現；此外，也須允許替代的應用程式散布管道，亦即第三方程式市集，且不得透過警告畫面、措辭設計或操作流程，變相干擾使用者選擇。</p> <p>依照協議內容，蘋果須在相關條款生效後105天內完成系統與規則調整，協議有效期為三年。在此期間，蘋果必須持續遵守上述開放義務；若未能履行承諾，CADE可重新啟動調查程序，並對蘋果處以罰款。</p> <p>此案源自拉丁美洲電商業者Mercado Libre於2022年底提出的申訴，指控蘋果濫用其在iOS應用程式散布市場的支配地位，限制開發人員向使用者提供其他數位商品與服務的管道。CADE調查後認為，蘋果對App散布與支付機制的高度集中控制，可能排除競爭並壓縮創新空間，因此自2024年起即陸續採取預防性措施。</p> <p>巴西此次監管行動，也被視為延續歐盟先前的改革方向。歐盟已於2024年依據《數位市場法》（Digital Markets Act）要求蘋果開放第三方程式市集及允許App側載，並放寬對App Store外部付費的限制，成為全球首個以立法方式要求鬆動iOS封閉生態的司法管轄區。相較之下，巴西目前仍處於制度即將落地的階段，但已顯示全球監管機構正逐步加大對行動應用生態競爭結構的關注。</p> </div></div></div>
2025/12/26 10:46作者陳曉莉https://www.ithome.com.tw/news/173050
Google可望允許變更Gmail電子郵件地址
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google一直以來是不允許修改Gmail電子郵件位址的，<a href="https://www.bleepingcomputer.com/news/google/google-will-finally-allow-you-to-change-your-gmailcom-address/" target="_blank">但媒體發現</a>Google的一項技術文件顯示，未來用戶可能被允許變更Google帳號的Gmail郵件地址。</p> <p>Google帳戶（Google Account）和Gmail電子郵件位址過去是永久綁定的。雖然Google允許用戶在Google帳號使用不同的別名（alias），但原則上用戶無法變更主要的Gmail電子郵件地址。如果用戶想換Gmail電子郵件地址，用戶必須建立全新帳戶，並手動搬移資料。但根據媒體發現的<a href="https://support.google.com/accounts/answer/19870?dark=0&sjid=13129471057818824497-NA&hl=hi" target="_blank">印度文版Google Help網頁</a>，可能未來不必那麼麻煩。</p> <p>Google說明，Gmail地址可讓使用者登入Google Account及服務，也可讓用戶及其他人識別Gmail郵件。但如果用戶願意，也可以變更Google Account的電子郵件地址，改成新的gmail.com郵件地址。</p> <p>改成新Gmail地址後，就能用它來登入Google服務、（帳號被竊時）取回帳戶、或接收Google通知。</p> <p>更重要的是，原有Google Account上的舊gmail地址將被設定為新gmail地址的別名（alias address），這使得新舊gmail信箱都能接收到郵件。而同時，原信箱位址儲存的資料不變，包括原本的舊信件、相片和訊息等。新、舊Gmail地址都可以登入其他Google服務，包括Google Maps、Google Drive、YouTube、Google Play Store等。</p> <p>但Google也設下限制。變更後用戶Google Account還是可以用回原本舊Gmail信箱地址，但未來12個月內不能再建立新的Gmail地址，也無法刪掉新的Gmail信箱地址。</p> <p>這項變更新措施將漸次推向所有用戶。如果用戶想變更，可以先在Google Account > 「個人資訊」>「電子郵件」設定下，查看是否有出現可以變更Google Account郵件地址的選項。如果有表示已經適用新功能。</p> <p>會不會推到臺灣，或是推廣到臺灣的時程都不確定。</p> </div></div></div>
2025/12/26 11:04作者林妍溱https://www.ithome.com.tw/news/173051
Nvidia修補機器人平臺Isaac 3個重大RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5749/" target="_blank">Nvidia本周發布安全更新</a>，修補機器人平臺Isaac三個風險值9.8的重大資安漏洞。</p> <p>這三個漏洞為CVE-2025-33222、CVE-2025-33223、CVE-2025-33224，是由Nvidia AI Red Team發現。三個漏洞皆出現在Isaac Launchable元件中。其中CVE-2025-33222和憑證寫死（hard-coded credential）有關，成功濫用可能引發程式碼執行（RCE）、提權攻擊（EoP）、阻斷服務（denial of service，DoS）以及資料竄改。CVE-2025-33223及CVE-2025-33224都是讓駭客取得不必要的程式碼執行權限，若讓駭客成功濫用，除了能引發RCE、EoP和DoS、資料竄改，還可能導致資訊外洩。三個漏洞CVSS風險值都高達9.8。</p> <p>舊版Isaac Launchable皆受影響，<a href="https://github.com/isaac-sim/isaac-launchable" target="_blank">Nvidia已釋出</a>最新的Isaac Launchable 1.1修補。</p> <p>二周前，<a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5733" target="_blank">Nvidia才修補</a>完Isaac Lab一項安全問題，為編號CVE-2025-32210的反序列化（deserialization）漏洞，成功濫用有可能讓駭客執行惡意程式碼，其CVSS風險值也高達9.0。Nvidia已釋出Isaac Sim v2.3.0修補。</p> </div></div></div>
2025/12/26 09:30作者林妍溱https://www.ithome.com.tw/news/173048
WatchGuard警告 Firebox程式碼執行漏洞已遭到濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2025-00027" target="_blank">資安業者WatchGuard本周警告用戶</a>，Firebox防火牆存在一個能讓未經授權攻擊者遠端執行程式碼的資安漏洞，而且已經遭到濫用。而且網路上還有九萬臺裝置未修補漏洞，包括臺灣近200臺。</p> <p>這項編號CVE-2025-14733的漏洞是內部研究發現，為位於Firebox OS的iked行程的越界寫入（out-of-bounds write）漏洞。成功利用此漏洞的遠端攻擊者無須任何使用者互動，可在未修補的Firebox設備上執行任意程式碼。該漏洞CVSS風險評分高達9.3，屬於重大風險等級。</p> <p><a href="https://www.watchguard.com/wgrd-blog/watchguard-fireware-versions-202514-12116-and-12515-available-now" target="_blank">WatchGuard說明</a>，它存在Firebox OS中的IKEv2 VPN服務中，影響所有機種和韌體版本的Firebox機器，包括具有IKEv2的手機版VPN，以及配置成使用IKEv2的分公司VPN（branch office VPN,BOVPN）動態對等閘道（dynamic gateway peer）。</p> <p>WatchGuard已經在12月18日釋出新版本韌體，包括Fireware 2025.1.4、Fireware v12.11.6、Fireware v12.5.15、Fireware v12.3.1 Update 4，並呼籲用戶儘速安裝更新。值得一提的是，如果用戶的Firebox之前曾配置成上述二種型態其中之一，即使後來刪除配置，該Firebox也還是會受影響。</p> <p>WatchGuard在12月23日發出公告，已經觀察到二起濫用漏洞攻擊Firebox裝置的活動。其中一起，攻擊者先遠端攻擊Firebox裝置，再把裝置的現行配置檔加密回傳給攻擊來源IP位址。第二起攻擊中，攻擊者將現行配置檔及本地管理使用者資料庫建立成gzip檔，再回傳給來源IP位址。</p> <p>廠商也提供了已知攻擊的IP位址，並提醒用戶及管理員，如果懷疑遭到攻擊，管理員應依據業者提供的修正指引操作，並建議立即輪換本地儲存的憑證。</p> <p>根據網路安全監控非營利組織ShadowServer基金會的數據顯示，截至12月24日，全球網路上曝險的Firebox裝置還有9.1萬臺。而以國家來看，以美國的3萬臺最多，其次為義大利、德國及英國，各有7000餘臺。<a href="https://dashboard.shadowserver.org/statistics/combined/map/?date_range=1&map_type=std&source=isakmp_vulnerable&source=isakmp_vulnerable6&tag=cve-2025-14733%2B&data_set=count&scale=log&auto_update=on" target="_blank">臺灣</a>迄今仍有171臺曝險。</p> </div></div></div>
2025/12/26 09:50作者林妍溱https://www.ithome.com.tw/news/173049
AI帶來IT質變與量變
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>生成式AI在2025年持續風行，不論在工作或生活的場合，每個人都在熱烈討論或聽聞相關技術應用的最新進展，2026年這股熱潮仍將持續發威，成為各個領域發展的重要推手。最近我們參加應用系統遞送與資安（Application Delivery and Security）廠商F5的年終報告，透過他們的分析，得以參照今年企業AI應用現況，瞭解IT服務品質與規模正在經歷激烈的變化。</p> <p>該公司引用的資料是2025年4月發布的年度應用系統戰略現況報告，高達96％的企業都正在部署AI模型，回顧2023年，只有四分之一的企業這麼做。現在的企業如何使用AI？72％的人表示用於提升應用系統效能，59％用於提升成本效率、實施資安防護規則，以及自動緩解零時差漏洞。</p> <p>有一半的組織，採用AI閘道連接應用系統與AI工具，其餘40％組織打算在未來一年來導入這類機制。而且，有62％組織透過上述方式來保護與管理AI模型，獲得集中控管能力，以及藉此防護企業、避免發生敏感資料外洩的事故。</p> <p>大眾與各種產業能夠從AI獲益的機會相當豐富，但因此面臨的種種挑戰也令人難以忽視其不便與風險。F5年度報告點出首項憂慮是AI模型的安全性，許多企業無法處理AI應用系統帶來的巨量資料、複雜流量模式，以及新的網路攻擊路徑。</p> <p>而在營運AI系統的就緒程度，也存在很大落差。例如，高度就緒的只有2％，中度就緒的有77％，低度就緒的有21％，之所以無法提高的原因在於治理、安全性，以及IT基礎架構的配合等問題；高達6成的組織仍受困於手動工作流程，原因包含預算的限制、複雜的廠商生態，以及各種自定的組態設定，導致自動化變成困難又耗時的工作；而且，有54％的組織表示受限於技能短缺，使得AI應用開發面臨重重阻礙；組建與營運AI工作負載的成本問題，也比2024年增加（42％提升至48％）。</p> <p>無法建立能夠擴展使用規模的資料處理實務，也成為組織導入AI的難題，2024年表示有這類挑戰的比例是33％，2025年增加至39％。因為AI系統出現潛在偏見或胡說八道狀況而無法信任AI的比例，也從27％，提升至34％，不過，F5也看到抱怨資料品質不佳的比例有下滑跡象，2024年是56％，2025年降至48％。</p> <p>對於API方面的顧慮，也相當顯著。58％的組織認為這項技術議題已成為很棘手的部分。由於近年來許多企業推動的數位轉型，出現大量API，不分規模大小的企業都擔憂接踵而來的資安風險，而且，每支API可能有數百個端點存取，每一個都必須受到保護，保衛應用系統與資料安全。</p> <p>有些組織為了管理涉及眾多API與程式語言的複雜組態設定，所耗費的工作時間就占了一半；而在自動化相關的工作任務當中，組織花在廠商API搭配最多，達到31％，其次是自定指令碼撰寫，有29％，接著是工單與管理系統的整合，比例也高達23％。</p> <p>部署方式也對應用系統型態產生影響，F5的報告也反映這個現象，橫跨多種環境進行混合部署的組織，比例高達94％，這些環境包含公有雲、私有雲、企業自建自管的資料中心、邊緣運算、服務業者代管的IT設施，而之所以這麼做，是為了符合執行規模的擴展、成本、法規遵循等要求。</p> <p>有91％的組織表示，採用多雲的第一個原因，在於他們能藉此適應業務需求的不斷變化，其次是改善應用系統的韌性（68％），以及獲得成本效益（59％）。</p> <p>在企業AI工作負載的部署策略上，也受到IT架構混合模式的影響，根據F5的報告指出，51％的組織計畫AI模型的使用將會橫跨雲端與內部環境，但特別的是，當中也有高達79％的組織，近期打算將至少一套應用系統從公有雲，搬回內部環境或代管環境，原因是希望控管成本、資安顧慮，以及希望掌握可預測性（predictability），相較於2021年的調查，現在表態這麼做的企業比例增加了13％，顯示企業在依賴公有雲的狀態下，對於彈性的保有也越來越重視。</p> <p>不過，混合模式雖然受到普遍採用，企業仍擔憂採用這種架構引發的副作用。例如，53％的組織擔心應用系統交付政策的不一致，47％的組織顧慮資安策略的分散。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/ai%E6%87%89%E7%94%A8">AI應用</a></div></div></div>
2025/12/26 06:00作者李宗翰https://www.ithome.com.tw/voice/173047
Nvidia挖角Groq人才並達成授權協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>CNBC周三（12/24）<a href="https://www.cnbc.com/2025/12/24/nvidia-buying-ai-chip-startup-groq-for-about-20-billion-biggest-deal.html" target="_blank">報導</a>，Nvidia將以200億美元買下AI晶片新創Groq，成為Nvidia史上最大收購案，<a href="https://groq.com/newsroom/groq-and-nvidia-enter-non-exclusive-inference-technology-licensing-agreement-to-accelerate-ai-inference-at-global-scale" target="_blank">但Groq隨後便宣布</a>，其實是與Nvidia達成非獨家授權協議，同時Groq的創辦人Jonathan Ross、總裁Sunny Madra，以及Groq團隊的其他成員都將加入Nvidia，而Groq仍將繼續獨立經營。</p> <p>Groq是在2016年由前Google TPU首席架構師所創辦，為一專注於AI推論的晶片與系統公司，其核心理念是以專為推論設計的LPU（Language Processing Unit）架構，取代以通用GPU為主的執行模式。LPU主打完全確定性的執行流程與極低延遲，特別適合大型語言模型的即時推論場景。此外，Groq不僅設計晶片，也自行開發編譯器及系統軟體，強調軟硬體垂直整合，並已透過GroqCloud提供雲端推論服務，主打高吞吐量與低成本，定位為GPU推論之外的替代方案。</p> <p>根據Groq的說法，該公司與Nvidia達成了一項非獨家授權協議，授權Nvidia使用Groq的推論技術，雙方的協議還涵蓋Ross、Madra與其他Groq團隊成員都將加入Nvidia，以協助推動及擴大所授權的技術。</p> <p>Groq將持續以獨立公司形式營運，並由Simon Edwards接任執行長，且GroqCloud將繼續營運，不會中斷。Edwards原本是企業軟體公司Conga的財務長，<a href="https://groq.com/newsroom/groq-names-simon-edwards-chief-financial-officer" target="_blank">甫於今年9月</a>跳槽至Groq並接任財務長。</p> <p>這起合作在形式上並非併購，Groq仍維持獨立法人與GroqCloud的營運；但透過推論技術授權，以及多位核心成員轉入Nvidia，雙方在技術與實務層面已建立高度連結。對Nvidia而言，這種安排能加速推論能力的補強，同時避免直接併購帶來的監管壓力。不過，迄今Nvidia尚未公開回應此事。</p> </div></div></div>
2025/12/25 18:20作者陳曉莉https://www.ithome.com.tw/news/173045
微軟釋出例外修補程式解決安全更新造成的MSMQ錯誤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center#3753" target="_blank">微軟本周釋出</a>例外（Out-of-Band，OOB）修補程式，解決近日安全更新引發的Windows MSMQ無法運作的問題。</p> <p>這個例外更新是解決本月Patch Tuesday釋出的KB5071546，引發Windows Server一個導致訊息佇列和資源不足有關MSMQ問題。這個問題被用戶反映好幾天後，<a href="https://learn.microsoft.com/en-us/answers/questions/5669061/regarding-problems-with-msmq-in-the-december-2025" target="_blank">微軟才出面證實</a>。</p> <p>發生錯誤時，MSMQ訊息佇列靜止不動、IIS網站無法展開，帶有「執行運作的資源不足」的錯誤訊息、應用程式無法寫入佇列、應用程式撰寫訊息檔案時出現「C:\Windows\System32\msmq\storage*.mq無法建立」的錯誤訊息，以及一些像是「磁碟空間或記憶體不足」的誤導log。</p> <p>受影響的Windows版本包括Windows 10用戶端及伺服器端。用戶端包含Windows 10 1607、1809、Windows 10 21H2、22H2。伺服器端則有Windows Server 2012/2012 R2、2016及2019。運作中的叢集MSMQ環境也受影響。</p> <p>這些問題主要影響企業或代管IT環境。安裝Windows Home和Pro版本的個人裝置不會發生這些問題。</p> <p>這個例外更新本周稍早，已釋出到<a href="https://catalog.update.microsoft.com/" target="_blank">Microsoft Update Catalog</a>上。</p> </div></div></div>
2025/12/25 18:32作者林妍溱https://www.ithome.com.tw/news/173046
駭客平臺抓取了Spotify將近100%的歌曲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>駭客平臺Anna's Archive上周末宣稱從串流服務業者Spotify抓走300TB檔案，幾乎是平臺上所有曲目。Spotify已證實此事。</p> <p>Anna's Archive自稱是人類史上最大真正開放的資料庫。<a href="https://annas-archive.org/blog/backing-up-spotify.html" target="_blank">該平臺宣稱</a>，早先，他們發現大規模抓取Spotify資料的管道，可讓他們建立音樂歸檔，目的是提供網友保存。他們一共備份了Spotify將近300TB的音樂檔案和metadata，並且提供torrents公開下載。</p> <p>這些檔案包含2025年7月以前收錄平臺的2.56億首歌曲和音樂，以及1.86億條ISRC（國際標準錄音錄影資料代碼）。駭客宣稱釋出的資料占Spotify所有歌曲的99.9%，而其備份的8,600萬個音樂檔案，資料量達300TB，占比達99.6%。最受歡迎的10,000首歌曲已經以13.8MB的gzip檔格式釋出。駭客說，將分階段把Spotify資產，包括metadata、音樂檔案、其他檔案metadata、唱片專輯、及.xstdpatch檔（作為重建原始檔案之用）開放。</p> <p><a href="https://therecord.media/spotify-disables-scraping-annas" target="_blank">Spotify周一對媒體表示</a>，這整件事是駭客使用了第三方單位建立的用戶帳號，而非「駭入Spotify」。駭客違反該公司使用條款，竊走平臺某些音樂資料，時間約數個月，但是該公司未說明外洩資料的規模。該平臺並稱，駭客並未竊取用戶資料，而且公開檔案前沒有聯繫他們。現在Spotify已經找到駭客用於資料竊取的檔案且加以關閉，他們也已經加入新的防護措施，持續監控可疑行動。</p> <p><a href="https://www.aicerts.ai/news/pirate-scrape-exposes-300tb-spotify-archive/" target="_blank">AI Certs分析</a>Anna's Archive的犯案手法。駭客是從Spotify API端點進行大規模網頁抓取，研究人員懷疑可能使用令牌收割（token harvesting）以繞過流量速限保護。而且駭客可能違法繞過了DRM防護而擷取了某些聲音檔。<a href="https://www.malwarebytes.com/blog/news/2025/12/hacktivists-claim-near-total-spotify-music-scrape" target="_blank">MalwareBytes</a>分析，這事件可以說是產業規模內容竊取的教科書式案例，並警告如果有心人士駭入夠多合法帳號或建立看似合法的假帳號，長期而言就能削弱內容防護。</p> </div></div></div>
2025/12/25 14:00作者林妍溱https://www.ithome.com.tw/news/173044
ChatGPT Atlas代理模式更新，引入對抗式訓練防提示詞注入攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI在ChatGPT Atlas的代理模式<a href="https://openai.com/index/hardening-atlas-against-prompt-injection/">推出安全更新</a>，替瀏覽器代理導入新的對抗式訓練模型檢查點，並強化周邊防護機制。OpenAI表示，更新主因是透過內部自動化紅隊演練發現一類新的提示詞注入攻擊手法，因此先行修補，以降低代理在執行使用者任務時被誤導的風險。</p> <p>所謂代理模式，是讓系統在使用者瀏覽器中讀取網頁內容並代為點擊與輸入，也可能在處理郵件、文件或行事曆等工作流程中接觸到大量外部內容。OpenAI提醒，當代理能在登入狀態與既有工作脈絡下採取動作，攻擊者就可能把惡意指令混入郵件、附件、共享文件或一般網頁，誘使代理把不受信任的文字誤當成應遵循的指令，導致偏離使用者原本的要求。</p> <p>OpenAI內部自動化紅隊演練發現一類新的提示詞注入攻擊手法，以OpenAI示範情境來說，攻擊者可先投放一封含惡意指令的郵件到收件匣，之後使用者請代理撰寫外出自動回覆時，代理在檢視未讀信件的過程中遭到誤導，反而寄出辭職信給使用者的主管或CEO，導致外出自動回覆沒有完成。也就是說，提示詞注入攻擊不必仰賴傳統網站漏洞，甚至不一定要透過釣魚引導使用者互動，也可能在日常工作流程中被觸發。</p> <p>OpenAI表示已替Atlas瀏覽器代理推出安全更新，內容包含新一版經對抗式訓練的模型檢查點，並加強周邊防護措施。OpenAI也說明其自動化紅隊做法是以大型語言模型為基礎，透過強化學習訓練自動攻擊者，讓其在模擬環境中反覆試探不同的提示詞注入策略，再利用目標代理的推理與動作軌跡作為回饋，快速找出可成功誤導代理的方式。</p> <p>當自動化紅隊發現新的有效攻擊模式，防守端就把這些案例納入對抗式訓練，並把攻擊軌跡用來改善模型以外的防護堆疊，例如監控機制、放入模型脈絡的安全指示，以及系統層保護措施，讓代理在接觸不受信任內容時更能維持以使用者意圖為優先的判斷，並在關鍵動作前要求確認。</p> <p>針對使用者端的風險管理，OpenAI建議在任務不需要登入時盡量以登出狀態或未登入狀態執行，並在系統要求確認寄信、購買等高影響動作時仔細核對內容。OpenAI同時提醒，交付任務時避免給出過於寬鬆的指令，改以更明確、範圍更小的需求描述，可降低不受信任內容干擾代理判斷的機會。</p> </div></div></div>
2025/12/25 08:00作者李建興https://www.ithome.com.tw/news/173028
數發部推出臺灣主權AI語料庫，已上架文化、藝術、地理、交通等逾2千個資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>數發部推動我國主權AI發展再進一步，今天(12/24)正式推出<a href="https://taic.moda.gov.tw/" target="_blank">臺灣主權AI語料庫</a>，目前語料庫已有文化部、教育部、客委會、原民會、交通部、海委會等超過200個政府機關參與，提供超過2千筆的資料集，相當於6億的Tokens，涵蓋文化藝術、教育、地理、語言、醫療、交通等資料。</p> <p>今天開始對外釋出的語料庫，上面分為2部分，一部分為僅供AI訓練使用的授權資料，需提出申請，通過審核方能使用，另一部分為開放資料，開放自由下載。外界欲使用必需先提出申請，先以自然人憑證或工商憑證確認身分，提出語料使用的目的，經數發部約7天的時間進行審核，開放申請者下載資料集。目前這些資料提供的電子檔，包括PDF、JSON格式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-12-24%20%E4%B8%8B%E5%8D%886_23_32.jpeg" style="width: 600px; height: 356px;" /></p> <p>數發部資料創新司司長莊明芬指出，由於語料庫採用授權條款，必需提出申請，提供語料使用目的文件後，經審核提供授權帳號給申請者。語料庫採與國際共享資料接軌的FAIR原則，即Findable (易查找)、Accessible (易取得)、Interoperable (可互通)、Reusable (可再利用)，採通用的PDF及JSON格式，讓開發者容易查找、容易使用，並可供AI訓練再利用。</p> <p>目前語料庫上提供的語料，多為中央政府部會及機關釋出，未來將擴大至地方政府，並鼓勵民間將資料上架至語料庫。</p> <p><strong><span style="color:#B22222;">為何需要主權語料庫？</span></strong></p> <p>數發部次長侯宜秀表示，數發部促進國內AI發展的5項策略，算力、資料、行銷、人才、資金，在資料方面，促進資料創新利用發展條例草案目前已由行政院審議討論中，相信很快會送交立法院；另外，為促進政府機關之間的資料分享交換，數發部也正進行資料匯流隱私強化工作，這些都為臺灣提供資料應用發展的基礎。</p> <p>在全球各國競相發展AI的時代下，外界關心各國AI發展的護城河是什麼？侯宜秀認為，算力不算是護城河，真正的護城河是資料及人才，臺灣獨有資料除了我們自己，沒有其他國家或科技公司會提供協助，必需我們自己來作；不只是過去的資料，更重要的是讓未來持續產生資料，建立良好機制，讓資料能夠被用來發展AI，這正是主權AI語料庫要建立的機制。</p> <p>侯宜秀補充說明，主權AI語料庫一開始會先在政府部門內建立協作機制，促進政部部門將過去的資料、持續新增的資料放到語料庫，接下來是與民間單位合作，讓民間資料納入語料庫，鼓勵開發者、研究，甚至讓Google、DeepMind等AI科技運用這些資料，讓LLM模型更符合臺灣的需求，同時也促進新創公司有足夠資源發展符合臺灣需求的AI，增加臺灣文化、價值在世界的能見度。</p> <p>莊明芬表示，語料庫是AI發展的重中之重，以「土豆」為例，在中國指的是蕃薯，在臺灣指的是落花生，因此餵養AI的資料會影響其所產生的答案。加強AI語料中繁體、正體中文的比重相當重要，可讓大型語言模型能理解臺灣的價值、政經文化。</p> <p><span style="color:#B22222;"><strong>3大策略以資料推動主權AI發展</strong></span></p> <p>因此，數發部有3大策略，第1個策略是建立臺灣主權AI語料入口網，打造臺灣語料發展的基礎建設，支援主權AI模型的訓練需求；第2個策略是對A發展中的著作財產權處理，提出促進資料創新利用發展條例，對資料合法合規共享提出清楚的規範；第3個策略是強化語料來源，促進公私部門語料釋出，提升語料庫的深度及廣度。</p> <p>首先是第1個策略的語料庫方面，目前數發部已建置臺灣主權AI語料庫入口網，並強調上面提供「高品質、在地的正體中文資料」，涵蓋具有臺灣文化特色及觀點，例如政治、社會、經濟、歷史等等，這些正體中文資料為語意連貫、內容完整，而非數字、圖表或條列式的文字。語料庫的資料必經過人工審核為人工創作的資料，並以電子檔釋出。</p> <p>第2個策略是促成資料的共享利用，數發部提出促進資料創新利用發展條例草案，其中的精神是促進資料開放、共享、再利用，促進政府資料開放、產業及民間資利他運用。</p> <p>莊明芬補充說明，促進資料創新利用發展條例草案第26條，對於政府機關將政府資料作為開放資料，應採標準授權對外釋出，可作為人工智慧及其他新興科技研發使用；第27條規定，政府機關將政府資料作為共享資料提供利用，應以非專屬授權利用方式，以供AI等新興科技利用。</p> <p>數發部也與經濟部智財局合作，共同制定臺灣AI語料庫的授權條款，目前為第1版，強調提供一次性授權，希望在促進AI發展及著作權保護間取得平衡。莊明芬表示，透過一次性授權減少個別著作權商議的行政成本，同時解決AI使用語料的著作權爭議。</p> <p>其中在授權人方面，在授權人的明確同意下，讓其提供的語料能被人工智慧訓練所使用，包括授予被授權人重製、改作、編輯及其他著作權和著作相關權利上必要的使用權，使其合法用於AI訓練；而被授權人則有明確標示的義務，包括使用的資料集及提供者，而以AI產出內容也應標示人工智慧生成產出，落實透明原則。另外，也要求訓練的成果不應與原語料實質近似，對原語料的市場或價值造成負面影響。</p> <p>第3個策略促進公私部門資料釋出，數發部已舉行說明會，對政府部會及機關說明政府資料釋出，並透過工作坊加速政府機關將資料上架。</p> <p>促進公私部門資料釋出，第一階段先以中央部會機關為主，明年將開始擴大到地方政府及機關，以及向民間業者推廣。</p> </div></div></div>
2025/12/24 18:12作者蘇文彬https://www.ithome.com.tw/news/173029
南陽實業傳出遭勒索軟體DireWolf入侵，駭客向車主寄送簡訊聲稱個資已外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>上個月韓國汽車大廠現代（Hyundai）旗下的<strong><a href="https://www.ithome.com.tw/news/172097">北美IT供應商AutoEver America傳出內部系統遭駭</a></strong>，該公司向美國緬因州與麻州檢察長辦公室呈報此事，並表示車主的姓名、社會安全碼，以及駕照資料外洩，如今該廠牌再傳資安事故，而且，就發生在臺灣而廣泛引起關注。</p> <p>最早報導此事的是<strong><a href="https://www.mirrormedia.mg/story/20251223soc002">鏡週刊</a></strong>，名為DireWolf的勒索軟體駭客向許多現代車主寄送簡訊，聲稱車主個資與車輛資訊遭現代汽車臺灣總代理南陽實業洩露，並取笑該公司完全沒有保護客戶隱私，若是未來車主因此遭到詐騙或蒙受損失，必須向南陽究責及求償。這種直接向受害企業的客戶寄送簡訊，宣稱客戶資料已外流的手法，顯然會引起不少車主恐慌。對此，南陽實業表示，他們已啟動防禦機制與備援措施，呼籲車主勿點擊來路不明的簡訊。</p> <p>南陽實業也提出說明，這起事故是他們的簡訊系統遭到入侵，導致部分車主收到駭客寄送的簡訊。該公司資安部門已全面啟動防禦機制與備援措施，並報請司法單位協助處理。</p> <p>針對DireWolf的來歷，<strong><a href="https://www.ithome.com.tw/news/169740">這些駭客最早在5月開始活動</a></strong>，專門針對全球的製造業與科技業發動攻擊，揭露此勒索軟體駭客組織的資安公司Trustwave提及，臺灣是其中一個駭客偏好下手的目標。上述事故是否就是勒索軟體攻擊，駭客是否加密該公司檔案並外傳，也成為外界關注的焦點。</p> <p>在鏡週刊報導此事的同一時間，<strong><a href="http://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=170146&SPOKE_DATE=20251223&COMPANY_ID=2206">南陽實業的母公司三陽工業也在23日傍晚代其發布資安重訊</a></strong>，說明子公司南陽實業偵測到部分資訊系統遭到網路攻擊的情況，該公司已協調外部資安公司與技術專家合作處理，並到警局報案，根據初步調查的結果，對於南陽實業營運無重大影響。不過這則重訊是否與上述事故有關，有待進一步釐清。</p> </div></div></div>
2025/12/24 16:37作者周峻佑https://www.ithome.com.tw/news/173024
【資安日報】12月24日，南陽實業傳出駭客向車主寄簡訊，聲稱個資已外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/173024"><strong style="font-size: 22px;">南陽實業傳出遭勒索軟體DireWolf入侵，駭客向車主寄送簡訊聲稱個資已外流</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ba6b12d9-608f-410c-a371-64d87305-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ba6b12d9-608f-410c-a371-64d87305-1.png" style="width: 300px; float: right;" /></a></p> <p>上個月韓國汽車大廠現代（Hyundai）旗下的北美IT供應商AutoEver America傳出內部系統遭駭，該公司向美國緬因州與麻州檢察長辦公室呈報此事，並表示車主的姓名、社會安全碼，以及駕照資料外洩，如今該廠牌再傳資安事故，而且，就發生在臺灣而廣泛引起關注。</p> <p>最早報導此事的是鏡週刊，名為DireWolf的勒索軟體駭客向許多現代車主寄送簡訊，聲稱車主個資與車輛資訊遭現代汽車臺灣總代理南陽實業洩露，並取笑該公司完全沒有保護客戶隱私，若是未來車主因此遭到詐騙或蒙受損失，必須向南陽究責及求償。這種直接向受害企業的客戶寄送簡訊，宣稱客戶資料已外流的手法，顯然會引起不少車主恐慌。南陽實業也提出說明，這起事故是他們的簡訊系統遭到入侵，導致部分車主收到駭客寄送的簡訊。該公司資安部門已全面啟動防禦機制與備援措施，並報請司法單位協助處理。</p> <p>在鏡週刊報導此事的同一時間，南陽實業的母公司三陽工業也在23日傍晚代其發布資安重訊，說明子公司南陽實業偵測到部分資訊系統遭到網路攻擊的情況，該公司已協調外部資安公司與技術專家合作處理，並到警局報案，根據初步調查的結果，對於南陽實業營運無重大影響。不過這則重訊是否與上述事故有關，有待進一步釐清。</p> <p><a href="https://www.ithome.com.tw/news/173010"><strong style="font-size: 22px;">威聯通上櫃當天卻傳出NAS檔案遠端存取服務遭駭疑雲，該公司澄清傳聞，表示僅有單一設備遭到入侵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/de9e13ec-412e-4d1b-9f43-954f46af3381.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/de9e13ec-412e-4d1b-9f43-954f46af3381.jpg" style="width: 300px; float: right;" /></a></p> <p>臺灣NAS設備廠商威聯通（QNAP）本週正式上櫃受到矚目，然而，當天卻突然有媒體報導駭客在暗網兜售從該公司NAS存取服務竊得一批資料，引起外界關注。</p> <p>最早報導此事的是民視新聞網，他們於12月22日指出，駭客組織KaruHunters在暗網宣稱竊得一批檔案量達到1.7 TB的資料，同時也取得威聯通核心雲端服務myQNAPcloud的資料，開價400美元兜售。對此，威聯通發出聲明表示，駭客竊得的資料實際上來自其中一家客戶的NAS設備，疑似因採用弱密碼與網路設備錯誤設定釀禍，造成NAS直接曝露在網際網路上，使得未經授權的攻擊者入侵並存取資料，威聯通強調，此事與myQNAPcloud沒有關聯，該公司也確認此服務並未遭到入侵，或是出現漏洞的情況。</p> <p>根據報導當中出現的螢幕截圖，第一張是KaruHunters在駭客論壇宣稱，他們握有myQNAPcloud.com的內部存取管道，並提供文件及使用者詳細資料等檔案佐證，開價400美元尋找買主，買家必須使用比特幣或門羅幣交易。為了確認是否真有這樣的資安威脅事故，我們找到威脅情報網站Dark Web Intelligence的揭露，他們恰巧也公布這張圖片，並指出KaruHunters聲稱此事的時間點在12月10日，當時駭客表明竊得myQNAPcloud的內部存取權限，Dark Web Intelligence提到，駭客同時也公布型號為TS-228的NAS設備系統畫面截圖。</p> <p><a href="https://www.ithome.com.tw/news/173006"><strong style="font-size: 22px;">工作流程自動化工具n8n存在近滿分重大漏洞，恐導致任意程式碼執行</strong></a></p> <p>AI代理盛行，能將AI工具與日常工作流程整合，並在無須編寫程式碼的情況下，進行自動化的工具也趁勢而起，其中，工作流程自動化NPM套件n8n有許多用戶，而受到關注。</p> <p>若是這類平臺存在弱點，攻擊者不僅有可能打亂或竄改流程，甚至有可能用來從事網路攻擊。12月19日n8n開發工程團隊發布公告，他們近期修補重大層級的遠端程式碼執行（RCE）漏洞CVE-2025-68613，此漏洞出現於工作流程的表達式評估系統，在執行情境裡若與底層執行環境未充分隔離，由通過身分驗證使用者提供的表達式，將有可能在工作流配置被評估。此時通過身分驗證的攻擊者有機會濫用上述現象，透過n8n處理程序的特殊權限執行任意程式碼，CVSS風險評為9.9分（滿分10分），他們已在一個月前發布的1.120.4、1.121.1，以及1.122.0版更新當中，修補這項漏洞。</p> <p>值得留意的是，儘管上述更新已在一個月前發布，全球恐有超過10萬套n8n系統尚未修補CVE-2025-68613。根據資安業者Censys的威脅情報平臺統計，12月22日有103,963套n8n存在漏洞，其中美國、德國，以及法國最多，分別有28,436、17,546，以及10,058個平臺曝險。臺灣是否有尚未修補的n8n，目前仍不得而知。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2025-12-22-at-3_15_21-PM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2025-12-22-at-3_15_21-PM.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/172990"><strong style="font-size: 22px;">美國NIST原子鐘故障，衝擊NTP網路時間協定服務</strong></a></p> <p>受強風導致的長時間停電影響，美國國家標準與技術研究院（NIST）於2025年12月20日發出警示，表示其位於科羅拉多州博爾德（Boulder）園區的原子鐘設施受供電故障影響，無法保證時間準確性，進而影響到該設施用於NTP網路時間協定服務的主機。NIST一度考慮關閉受影響的時間服務主機，以免提供與傳播錯誤時間資訊，但稍後在12月21日表示已恢復備援電力運作，並確認原子鐘時間偏差範圍，目前仍維持NTP服務等主機的運作。</p> <p>由於上週科羅拉多中部博爾德地區（位於丹佛西北部）發生強烈陣風，當地電網因此部分受損，電力公司也基於預防引發野火而關閉供電，導致NIST博爾德園區自12月17日起便失去市電供應，只能依靠備援電力維持運作。但部分備援用發電機後來發生故障，以致部分原子鐘與NIST測量分發系統之間的連線中斷，影響到博爾德園區透過16座原子鐘維持的標準時間尺度，包括NTP服務主機在內的6部時間伺服器都受到影響。由於強風導致搶修工作困難，NIST為此在12月20日發出警示，表示考慮關閉受故障影響的時間伺服器，以免散播不準確的時間資訊。</p> <p>NIST隔天12月21日又發出更新訊息，表示已經恢復備援電力，監控顯示博爾德園區設施的時間誤差小於5微秒（μs），因而繼續維持時間伺服器運作。NIST指出5微秒的偏差不致影響大多數用戶，但可能影響需要極高精度時間的航太、科學等應用的用戶，他們已經通報這類高階用戶，並提供其他時間服務網路存取權限。</p> <p><a href="https://www.ithome.com.tw/news/172998"><strong style="font-size: 22px;">羅馬尼亞水務局傳出遭勒索軟體攻擊，駭客利用BitLocker將檔案加密</strong></a></p> <p>羅馬尼亞水務管理署（Administrația Națională Apele Române）上周末遭到勒索軟體攻擊，傳近千臺電腦無法運作。</p> <p>該單位於12月20日向羅馬尼亞國家網路安全局通報，水務管理署及羅馬尼亞10個流域管理單位眾多電腦和伺服器遭到勒索軟體攻擊，影響近1000個ICT系統，包括地理資訊系統應用伺服器、資料庫伺服器、Windows工作站、Windows伺服器、電子郵件和網頁伺服器，以及域名伺服器（DNS）等。經過調查，發現駭客濫用Windows內建的BitLocker資料保護機制來加密受害系統上的檔案。</p> <p>不過，當局表示，營運科技（OT）未受影響，因此用水調度和水利設施運作等日常作業仍在「正常範圍」內執行。水利設施安全由本地值班人員在調度部門的協調下進行本地操作。水務管理署已和資安部門合作以及早回復資訊系統，並說，水務署的基礎架構之前不在羅馬尼亞國家安全防護體系保護範疇內，現在政府已著手將該基礎設施整合到CNC開發的系統中，並透過智慧技術確保其安全。</p> <p><a href="https://www.ithome.com.tw/news/173002"><strong style="font-size: 22px;">法國郵政遭DDoS攻擊，網站與行動服務皆斷線，親俄駭客組織NoName057宣稱犯案</strong></a></p> <p>12月23日法國郵政（La Poste）證實遭到網路攻擊，導致包含銀行及網站所有資訊服務皆斷線。親俄駭客組織NoName057宣稱犯案。</p> <p>根據媒體報導，12月22日法國郵政遭遇分散式阻斷服務（DDoS）攻擊，雖然沒有資料外洩，但民眾寄送或領取郵件包裹皆被拒絕受理。法國郵政對此做出說明，受到「重大」網路事件影響，所有線上服務，包括網路銀行、網銀手機App、法國郵政App、網站如lapost.fr、Digiposte、數位身分服務等都暫時無法使用。</p> <p>法國郵政表示正全力恢復服務。目前網路及行動服務斷線，但銀行客戶仍然可以透過簡訊驗證執行線上支付。實體管道像是ATM取款、店內PoS終端機刷卡支付或歐洲電子錢包Wero轉帳服務也不受影響。在郵政服務層面，部分郵局的數位服務無法使用，因此用戶必須臨櫃辦理銀行和郵政業務。</p> <p><a href="https://www.ithome.com.tw/news/172988"><strong style="font-size: 22px;">勒索集團Clop傳鎖定Gladinet CentreStack，疑利用漏洞竊取資料進行勒索</strong></a></p> <p>威脅情資平臺Curated Intelligence提醒，事件應變人員近期在多起案件中觀察到疑似與Clop相關的新一波資料外洩勒索行動，攻擊目標鎖定網際網路對外的Gladinet CentreStack檔案伺服器。該社群依據近期連接埠掃描結果估算，至少有200個以上具公開IP的主機，其網頁標題顯示為「CentreStack - Login」，因此被視為潛在暴露面。</p> <p>目前仍無法確認攻擊者利用的漏洞編號與入侵入口，尚不清楚是零時差漏洞，或是既有弱點因延遲修補而被趁虛而入。根據外媒BleepingComputer引述Curated Intelligence的說法，攻擊者已在遭入侵的伺服器上留下勒索訊息。</p> <p>同時間資安公司Huntress公布研究指出，CentreStack與Triofox因採用寫死的AES加密相關值，可能在未經驗證的情況下被特製請求利用，造成任意本機檔案讀取，包含取得關鍵設定檔web.config，並替後續的ViewState反序列化與遠端程式碼執行創造條件。該漏洞已被指派為CVE-2025-14611，NVD指出受影響範圍為16.12.10420.56791之前版本。</p> <p><a href="https://www.ithome.com.tw/news/173001"><strong style="font-size: 22px;">ServiceNow將以77.5億美元併購資安新創Armis</strong></a></p> <p>雲端企業營運管理平臺ServiceNow周二（12月23日）宣布，將以77.5億美元的現金買下專注於網路曝險管理的資安公司Armis，未來雙方將共同打造一套端到端的資安曝險與營運平臺，此項收購可望讓ServiceNow在資安與風險解決方案的潛在市場規模成長超過3倍，並加速其發展自主、主動式資安產品。</p> <p>ServiceNow總裁、營運長暨產品長Amit Zavery表示，ServiceNow正在打造下一世代的資安平臺。在代理型AI時代，企業若要長期擴大AI應用，橫跨任何雲、任何資產、任何AI系統與任何裝置的智慧信任與治理已不可或缺。與Armis結合後，將提供即時、端到端、主動防護的產業級資安防護。</p> <p>根據雙方的規畫，未來Armis的資安產品將整合至ServiceNow的工作流程，提供端到端防護與全生命周期行動，特別適用於製造、醫療等具備資安實體資產的產業，讓資安團隊能超前威脅者，而非在事件發生後被動回應。</p> <p><a href="https://www.ithome.com.tw/news/172856"><strong style="font-size: 22px;">Let's Encrypt明年起導入Generation Y憑證鏈，新憑證不再支援TLS用戶端驗證</strong></a></p> <p>非營利憑證機構Let’s Encrypt宣布，將自2026年起分階段調整憑證發行與效期政策，重點包括導入新一代Generation Y根憑證與中繼CA階層，並逐步讓新簽發憑證不再包含TLS用戶端驗證的延伸金鑰用途（EKU），讓憑證用途更聚焦在TLS伺服器（tlsserver）驗證。同時也將依產業規範，逐步縮短憑證有效期。</p> <p>依官方時程，2026年2月11日起預設憑證簽發設定（Classic Profile）新簽發的憑證將移除TLS Client Authentication EKU。需要更長緩衝期者可改用TLS用戶端驗證專用簽發設定，但該profile僅提供到2026年5月13日。至於Generation Y的導入，Let’s Encrypt表示初期將優先用於TLS伺服器與短效期憑證設定，並推進短效期憑證選項，包含在憑證中納入IP位址作為識別類型。</p> <p>在效期方面，Let’s Encrypt規畫將憑證有效期從現行90天逐步縮短至45天。自2026年5月13日起，只要選用ACME的TLS 伺服器專用設定檔，新簽發憑證就會改為45天效期，供早期採用者與測試使用，2027年2月10日起，預設的設定檔新簽發憑證效期將降為64天，並在2028年2月16日再降為45天。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/korean-tv-writers/">北韓駭客APT37冒充韓國電視節目編劇與廣播公司記者，與受害者建立關係並散布惡意軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/sidewinder-apt/">APT駭客SideWinder冒充稅務機關並建置入口網站，鎖定印度實體從事網路間諜活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/blind-eagle-hackers-2/">南美駭客BlindEagle鎖定哥倫比亞政府機關從事網釣，散布惡意軟體Caminho與DcRat</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/pr/172884">鎖定後量子時代資安，Thales攜手信驊科技打造矽信任根</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172989"><strong>【12月23日】中國駭客Ref7707將攻擊範圍延伸至歐洲</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172969"><strong>【12月22日】中國駭客透過GPO於日本與東南亞政府機關部署惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172917"><strong>【12月19日】華碩已終止支援的軟體更新工具漏洞遭到利用</strong></a></p> </div></div></div>
2025/12/24 16:40作者周峻佑https://www.ithome.com.tw/news/173025
駭客濫用M365 OAuth裝置碼釣魚，挾持受害者微軟帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安廠商Proofpoint<a href="https://www.proofpoint.com/us/blog/threat-insight/access-granted-phishing-device-code-authorization-account-takeover">指出</a>，近期出現濫用Microsoft 365 OAuth裝置碼授權流程的網路釣魚活動，涵蓋多個攻擊團體，其中包含可能與俄羅斯陣營相關的組織UNK_AcademicFlare。攻擊者誘導受害者在微軟官方驗證頁輸入裝置碼，讓受害者不自覺替攻擊者的應用程式完成授權，進而取得權杖並接管帳號與竊取資料。</p> <p>研究人員說明，該手法高度仰賴社交工程。受害者收到看似有人分享文件或要求重新驗證的通知，連結可能藏在按鈕、文字超連結，或透過QR Code引導。使用者點開連結後，通常會先進到攻擊者控制的頁面，頁面可能直接顯示裝置碼，或在後續由攻擊者寄出第二封信提供裝置碼。攻擊者在這些內容中把裝置碼宣稱為一次性密碼或安全驗證步驟，並要求使用者前往微軟官方驗證入口輸入。使用者一旦照做並完成驗證，實際上是在替攻擊者控制的應用程式完成授權。</p> <p>UNK_AcademicFlare攻擊者使用被入侵的政府或軍事機構信箱，先進行看似正常的往來，再以分享資料或安排訪談為由提供連結，導入裝置碼授權流程，目標涵蓋美國與歐洲的政府單位、智庫與高等教育等組織，並指出其多次使用俄烏相關誘餌內容，作為判斷其與俄羅斯陣營相關的佐證之一。</p> <p>與傳統釣魚不同，裝置碼釣魚不一定要求受害者在仿冒頁面輸入密碼，關鍵操作常被移到可信任的官方入口，例如引導使用者在microsoft.com/devicelogin等微軟頁面輸入裝置碼並完成應用程式授權。由於相關紅隊工具與可用於此類活動的惡意應用程式已在地下社群流通，組織在風險評估上需要把該釣魚手法視為可規模化的威脅類型。</p> <p>研究人員建議優先在身分與存取控管層面限制裝置碼流程使用，例如透過條件式存取政策封鎖裝置碼流程，並先以僅報告模式或檢視既有登入紀錄評估政策影響，要是無法全面封鎖，則可改採允許清單做法，只開放核准的使用情境與範圍。當組織已導入裝置註冊或Microsoft Intune等裝置管理機制，也可要求登入必須來自合規或已加入的裝置，作為分層防護。</p> <p>同時，單靠檢查網址的做法難以涵蓋此類風險，組織應將訓練重點，放在提醒員工不要替不明來源提供的裝置碼完成輸入與授權，並建立可快速求證的流程，避免員工在急於查看文件或訊息往來時，無意間把存取權交給攻擊者。</p> </div></div></div>
2025/12/24 15:26作者李建興https://www.ithome.com.tw/news/173018
Claude Code加入LSP工具，支援即時診斷與程式碼導覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic釋出<a href="https://github.com/anthropics/claude-code/blob/main/CHANGELOG.md">Claude Code v2.0.74更新</a>，新增語言伺服器協定（LSP）工具，讓Claude Code在終端機的程式開發流程中，能取得更即時的錯誤與警告診斷，並支援跳至定義、尋找參照與滑鼠停駐時的符號說明等。此次更新進一步擴充Claude Code在程式碼理解的能力，使其不只依賴文字內容推理，也能直接接上語言伺服器提供的語意資訊。</p> <p>依<a href="https://code.claude.com/docs/en/plugins-reference#lsp-servers">Claude Code文件說明</a>，LSP外掛可提供即時程式碼智慧，語言伺服器會在每次程式碼編修後回報診斷結果，使Claude能更快看到錯誤與警告，並透過程式碼導覽查詢定位符號定義、參照位置與滑鼠停駐時的資訊，同時取得型別與文件線索。</p> <p>在導入LSP機制前，Claude Code若要取得更精準的錯誤位置與符號關聯，常見做法是先讀取檔案內容，再搭配編譯器或型別檢查器等外部輸出來比對線索。導入LSP後，診斷與符號資訊會以較標準化的方式回饋，錯誤位置與符號關聯也更容易被直接指出。</p> <p><a href="https://code.claude.com/docs/en/discover-plugins">Claude Code文件</a>將外掛市集定位為外掛目錄，能提供集中式探索、版本追蹤與自動更新等管理能力，並支援以Git儲存庫或本機路徑等多種來源來發布，也就是說，團隊可以把LSP伺服器的設定包進外掛，再透過自建市集提供給內部成員使用，降低每位開發者各自安裝與調整設定的負擔，讓環境一致性更容易維持。</p> <p>官方文件指出，LSP伺服器設定可放在外掛根目錄的.lsp.json，或直接寫入plugin.json中，並以副檔名對應語言識別。外掛只描述如何啟動語言伺服器，語言伺服器執行檔仍需另行安裝，要是系統找不到可執行檔，會在/plugin錯誤頁面提示相關訊息。官方也列出多個常見語言的程式碼智慧外掛與所需語言伺服器，並說明可在/plugin的Discover頁籤搜尋lsp安裝。</p> </div></div></div>
2025/12/24 16:11作者李建興https://www.ithome.com.tw/news/173023
威聯通上櫃當天卻傳出NAS檔案遠端存取服務遭駭疑雲，該公司澄清傳聞，表示僅有單一設備遭到入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>臺灣NAS設備廠商威聯通（QNAP）本週正式上櫃受到矚目，然而，當天卻突然有媒體報導駭客在暗網兜售從該公司NAS存取服務竊得一批資料，引起外界關注。</p> <p>最早報導此事的是<strong><a href="https://www.ftvnews.com.tw/news/detail/2025C22W0160">民視新聞網</a></strong>，他們於12月22日指出，駭客組織KaruHunters在暗網宣稱竊得一批檔案量達到1.7 TB的資料，同時也取得威聯通核心雲端服務myQNAPcloud的資料，開價400美元兜售。對此，<strong><a href="https://www.qnap.com/zh-tw/news/2025/qnap-%E5%B0%8D%E4%B8%8A%E6%AB%83%E6%97%A5%E5%8F%97%E6%8C%87%E7%A8%B1%E7%9A%84%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E4%B9%8B%E6%BE%84%E6%B8%85">威聯通發出聲明表示</a></strong>，駭客竊得的資料實際上來自其中一家客戶的NAS設備，疑似因採用弱密碼與網路設備錯誤設定釀禍，造成NAS直接曝露在網際網路上，使得未經授權的攻擊者入侵並存取資料，威聯通強調，此事與myQNAPcloud沒有關聯，該公司也確認此服務並未遭到入，或是出現漏洞的情況。</p> <p>根據報導當中出現的螢幕截圖，第一張是KaruHunters在駭客論壇宣稱，他們握有myQNAPcloud.com的內部存取管道，並提供文件及使用者詳細資料等檔案佐證，開價400美元尋找買主，買家必須使用比特幣或門羅幣交易。為了確認是否真有這樣的資安威脅事故，我們找到威脅情報網站Dark Web Intelligence的揭露，他們恰巧也公布這張圖片，並指出<strong><a href="https://dailydarkweb.net/myqnapcloud-internal-access-allegedly-for-sale-on-dark-web/">KaruHunters聲稱此事的時間點在12月10日</a></strong>，當時駭客表明竊得myQNAPcloud的內部存取權限，Dark Web Intelligence提到，駭客同時也公布型號為TS-228的NAS設備系統畫面截圖。</p> <p>另一張民視報導公開的螢幕截圖，是KaruHunters聲稱表明成功入侵特定的NAS設備，發現受害組織存放約1.7 TB資料然後偷走，並怪里怪氣詢問買家，相關存取管道應該出售，還是免費開放給所有人使用？再者，這張圖也提及myQNAPcloud，不過僅有介紹該平臺的功能，並未進一步說明，似乎在暗示他們是透過該平臺得逞。</p> <p>我們詢問威聯通、想確認狀況，該公司表示經QNAP PSIRT團隊調查後，已確認是有客戶將NAS曝露於網際網路，並未根據最佳實作配置安全相關設定，導致NAS遭未經授權第三方入侵並存取資料的事故。威聯通強調此為單一客戶事件，並未涉及該公司的雲端服務。</p> <p>威聯通也在12月22日發布新聞稿，針對這起事故的調查結果提出說明，他們指出，受害裝置型號為TS-228，執行的作業系統為QTS 4.3.6版，經調查該版本作業系統並未出現大規模資安事故回報，因此QNAP PSIRT團隊認為，這起事故屬於特定單一的使用者設備維運疏失造成，該裝置不僅直接對外連線，且並未啟用威聯通提供的存取防護措施而釀禍。不過，他們在新聞稿並未提及KaruHunters，也沒有公布外洩資料規模，是否就是民視報導的資安事故，有待進一步說明。</p> <p>他們也反駁民視報導提及KaruHunters取得myQNAPcloud服務平臺層級權限的說法，該公司發現，此NAS用戶並未啟用相關服務，目前沒有證據顯示這起事故與myQNAPcloud有關，經調查此平臺也並未存在漏洞，或是遭到入侵的情形。</p> <p>對此，威聯通強調他們有完善的用戶個資保護機制，並根據資安處理流程，即時進行任何通報之技術分析，透過既有管道嘗試聯繫相關使用者。威聯通也呼籲用戶，應妥善設定NAS的安全機制，才能確保資料安全。</p> </div></div></div>
2025/12/24 12:28作者周峻佑https://www.ithome.com.tw/news/173010
FIDO在臺落地規模擴大，逾300個政府與企業系統支援，Passkey體驗成下一步關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>隨著FIDO、Passkey技術應用升溫，為促進臺灣與國際間的技術交流，在12月初，FIDO聯盟與FIDO聯盟臺灣分會特別舉辦研討會，揭露最新成果，例如，Passkey在短短3年內，從無到有累積至約35至40億個活躍帳號，展現前所未見的採用速度，同時FIDO聯盟臺灣分會會長張心玲也公開臺灣的FIDO採用現況。</p> <h2><strong>Passkey採用加速，金融與政府成為關鍵推力</strong></h2> <p>針對Passkey的採用趨勢，FIDO聯盟執行長Andrew Shikiar表示，Passkey的普及速度，正反映全球身分驗證生態出現劇烈轉變，而在<a href="https://www.ithome.com.tw/news/162513">FDO（FIDO Device Onboard）</a>與支付領域的應用面，同樣有著顯著的進展。</p> <p>回顧過去，Passkey於2022年推出，一年之後，全球已有超過70億個帳號具備Passkey登入選項，隔年數字再次翻倍。在這段期間，FIDO聯盟也有一個重要的成果，<strong><a href="https://www.passkeycentral.org/">推出Passkey Central的網站</a></strong>，協助企業與個人理解導入Passkey的價值，並提供在不同應用場景下的實作指引。</p> <p>如今2025年，支援Passkey的服務數量已多到難以統計，因此他們現在更關注實際使用情況，他估計，目前約有35至40億個帳號，實際啟用Passkey來保護。</p> <p>對於產業應用態勢，他指出，今年Passkey推動上出現兩大重要變化。</p> <p>首先，是銀行與金融業的快速採用。進入2025年，他觀察到越來越多國際金融機構，包括澳洲、紐西蘭、歐洲、美國及臺灣的多家指標性銀行，已將Passkey納入用戶登入選項。</p> <p>其次，是政府端擴大採用與監管政策的推動。早期Passkeys多由電子商務、內容平臺與支付服務引領，如今受監管產業的全面加入，象徵著技術落地的關鍵轉折。包含臺灣、澳洲、美國、英國與德國在內的多國政府，不僅在公共服務中導入Passkeys，也更進一步應用於內部的員工身分驗證系統。</p> <p>今年4月FIDO聯盟更是發布<a href="https://fidoalliance.org/passkeypledge/">Passkey Pledge</a>計畫，號召企業承諾導入或擴大Passkey登入，並確保產品與平臺支援符合FIDO標準的實作。短短數週內，已有近300家企業加入，突顯Passkey在全球的關注度與企業採用意願。</p> <p>之所以能有如此快速成長，不僅是技術本身受看重，Andrew Shikiar強調，更關鍵是整個FIDO社群的集體合作與投入，他並提到臺灣同樣扮演著關鍵角色，在全球300多個FIDO會員中，臺灣已有超過40個成員，會員數量居全球第二。</p> <p>FIDO聯盟臺灣分會會長張心玲也補充說明，指出臺灣不只有40多個FIDO成員，並有超過百項通過FIDO認證的產品。而且「FIDO台灣分會」也在2021年5月正式成立，成員包括政府部會、研究法人、企業與驗證公司等。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）FIDO 2025年底最新進展_臺灣FIDO會員_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89FIDO%202025%E5%B9%B4%E5%BA%95%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95_%E8%87%BA%E7%81%A3FIDO%E6%9C%83%E5%93%A1_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px; height: 365px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7A）FIDO 2025最新進展_臺灣支援FIDO與Passkey現況_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967A%EF%BC%89FIDO%202025%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95_%E8%87%BA%E7%81%A3%E6%94%AF%E6%8F%B4FIDO%E8%88%87Passkey%E7%8F%BE%E6%B3%81_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>在實際應用層面，張心玲也難得公布相關統計數據，指出光是TW FidO介接，就讓國內有超過300個政府與企業系統支援FIDO技術，若加上其他國內企業的應用，規模則更大。</p> <p>數位發展部主任秘書胡貝蒂也蒞臨這場會議，指出Passkey與FIDO2已成為臺灣推動「數位信任」的核心標準。數發部作為FIDO聯盟政府會員，自去年開始協助電商、遊戲、旅遊與金融等產業導入無密碼驗證。</p> <p>我們在2024年也注意到此一態勢，介紹<a href="https://www.ithome.com.tw/news/165788">露天、智冠、可樂旅遊的Passkey導入</a>。2025年下半年我們也得知更多進展，包括酷澎、誠品、杏一醫療與晨間廚房，都在持續跟進這股態勢。特別是在支付與金融領域，前幾個月舉辦的FIDO專場活動中，也揭露多項落地案例，例如：「一卡通iPASS MONEY」App針對「錢包帳戶」啟用FIDO2驗證機制，以及元大金融Fast-ID驗證轉接中心介接的實務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967B%EF%BC%89FIDO%202025%E5%B9%B4%E5%BA%95%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95_%E8%87%BA%E7%81%A3%E6%94%AF%E6%8F%B4FIDO%E8%88%87Passkey%E7%8F%BE%E6%B3%81_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>針對臺灣在FIDO技術的導入現況，FIDO聯盟臺灣分會會長張心玲指出，目前應用已呈現多元發展，不僅在內政部推動的TW FidO與金管會主導的金融Fast-ID計畫下持續深化，數位發展部亦協助更多國內民間產業導入相關技術。(攝影／羅正漢)</strong></span></p> <h2><strong>Passkey下一步怎麼走？FIDO聯盟揭3大方向待突破</strong></h2> <p>儘管Passkey推動成果相當顯著，Andrew Shikiar強調，Passkey仍有三個關鍵課題需要持續突破，這也是FIDO聯盟將持續投入與推動的重點方向。</p> <p><span style="color:#0066ff;"><strong>（一）持續優化使用者體驗：</strong></span>目前在不同瀏覽器、作業系統與裝置情境下，前端流程仍存在差異，操作複雜度高於預期，是後續需要持續改善的重點。</p> <p><span style="color:#0066ff;"><strong>（二）朝向整體安全設計：</strong></span>為減少密碼依賴，還需要進一步淘汰後端那些知識型驗證（KBA）的機制，提升整體架構的防禦能力，並降低被濫用的風險。</p> <p><span style="color:#0066ff;"><strong>（三）強化企業與高保證場景的部署能力：</strong></span>目標是要優化Passkey在企業環境中的同步機制與裝置管理，並於明年在Passkey Central發布專為企業實務人員設計的操作指引。<br /> </p> <h2 class="rtecenter"><b>相關報導：</b><a href="https://www.ithome.com.tw/news/173007">Google在臺解析Passkey技術新進展，展示Credential Manager最新強化功能，降低開發者導入門檻</a></h2> </div></div></div>
2025/12/24 12:20作者羅正漢https://www.ithome.com.tw/news/172885
微軟釋出硬體加速的BitLocker 減少拖慢PC效能、強化安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://techcommunity.microsoft.com/blog/windows-itpro-blog/announcing-hardware-accelerated-bitlocker/4474609" target="_blank">微軟本周宣布</a>推出硬體加速的BitLocker，取代CPU加速，以提升Windows 11機器的運作效能，並減少金鑰曝露風險。新功能已於9月加入Windows 11 24H2/25H2，並計畫藉由新一代CPU/SoC普及到次世代PC。</p> <p>微軟說明，過去BitLocker的效能損耗大多只有個位數百分比，幾乎感覺不到，這是因為傳統SSD I/O本來就慢。但隨著更高速I/O的非揮發記憶體Express（NVMe）磁碟快速普及，但使得BitLocker運作對PC效能影響變得更顯著。在現有搭載NVMe的Windows PC上，需要高I/O及高資料吞吐量的應用使用者，如處理大型影片檔的專業工作者、組譯大型程式庫的開發人員、或是對延遲性錙銖必較的遊戲玩家兼顧資料安全及速度，BitLocker造成的效能或CPU耗用會變得更難以忍受。</p> <p>為平衡高效能和安全性，微軟在上個月的Ignite大會上推出硬體加速的BitLocker（Hardware-Accelerated BitLock）。微軟強調，最新一代BitLocker並不只是小改小修，而是加入了真正新的架構性功能。</p> <p>微軟說明，新BitLocker有兩項重大變革。一是將加密工作從CPU卸載到專用加密引擎上，以便主要CPU資源能用於主要任務需求，提升效能及減少電力耗用。第二是金鑰由硬體防護。如果機器的SoC晶片支援，BitLocker可自動切換，將加密金鑰交由硬體層隔離與封裝，以免於曝露CPU及記憶體，可降低旁路攻擊及記憶體漏洞曝露金鑰的風險。微軟說這是在TPM（Trusted Platform Module）防護機制外的新一層安全機制。</p> <p>Windows 11 24H2的9月Windows更新、Windows 11 25H2已包含新BitLocker。</p> <p>新BitLocker也會配合未來搭載新SoC及CPU提供於新Windows機器。第一批支援的新CPU/SoC包括Intel Core Ultra Series 3（代號Panther Lake），微軟計畫未來持續增加其他支援的廠商和CPU平臺。</p> <p>Windows PC可提供自動BitLocker加密、手動啟動、政策驅動、或是script啟動。若PC啟動新一代BitLocker，若（搭載NVMe磁碟的）Windows 11機器的SoC晶片支援，Windows就會預設使用新的硬體加速BitLocker和TS-AES-256演算法。</p> <p>不過，若企業指定SoC不支援的加密演算法、金鑰長度，或啟用了特定政策，Windows將退回使用傳統的軟體型BitLocker。</p> <p>配合NVMe磁碟的普及，微軟本月稍早<a href="https://www.ithome.com.tw/news/172865" target="_blank">宣布</a>Windows Server 2025加入NVMe原生支援，可望最多提高NVMe I/O速度80%。</p> </div></div></div>
2025/12/24 13:46作者林妍溱https://www.ithome.com.tw/news/173014
微軟要在2030年前淘汰所有C/C++程式碼？研究主管緊急澄清「只是研究專案」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟CoreAI體系的傑出工程師Galen Hunt上周透過LinkedIn<a href="https://www.linkedin.com/feed/update/urn:li:activity:7407863239289729024/" target="_blank">徵才</a>，企圖招募一位首席軟體工程師，於2030年之前淘汰微軟內部所有的C與C++程式碼，以Rust重寫微軟最大規模的程式碼庫。消息一出，不少媒體直接把它當成微軟政策，使得Hunt緊急澄清，這只是一項研究專案，Windows並未啟動任何以AI將系統程式碼改寫為Rust的計畫。</p> <p>C與C++誕生於1970至1980年代，是作業系統與高效能軟體的核心語言，至今仍支撐Windows等大型系統。但它們仰賴人工管理記憶體，長期成為資安漏洞與維運風險來源。在累積數十年的巨型程式碼庫中，修改成本與風險不斷放大。隨著資安要求提升與AI自動重構興起，缺乏語言層安全機制的C與C++，逐漸被視為不利於未來長期維運的基礎。</p> <p>Hunt說，該專案的目標是在2030年前，淘汰微軟的每一行C及C++程式碼，採用的策略是結合AI與演算法來重寫微軟最大的程式碼庫，終極目標是「一名工程師在1個月內重寫100萬行程式碼」。</p> <p>為了完成該任務，Hunt團隊已打造一套程式碼處理系統，先用演算法將程式碼轉換成關係圖，標示各段程式碼之間的依賴關係，AI代理程式再依據該圖來修改程式碼。該系統已實際應用在程式碼理解等任務上。</p> <p>而準備招募的首席軟體工程師，則會負責協助強化其基礎設施，以便將微軟內部規模最大的C和C++系統轉譯成Rust，因此需要具備使用Rust建構生產級系統層級程式碼的經驗，最好擁有至少3年以Rust撰寫系統層級程式碼的經驗，強烈希望具備編譯器、資料庫或作業系統實作經驗。</p> <p>Hunt解釋，該團隊隸屬於微軟CoreAI的EngHorizons組織中的「可擴展軟體工程的未來」小組，任務是建立能讓微軟及客戶可大規模消除技術債的能力。該專案並非在替Windows 11以後的版本設定新策略，也未暗示Rust便是終點。</p> </div></div></div>
2025/12/24 13:55作者陳曉莉https://www.ithome.com.tw/news/173015
內建48或72 GB記憶體，輝達中高階Blackwell工作站GPU登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_rtx_pro_5000_blackwell_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>繼2025年上半推出<a href="https://www.ithome.com.tw/review/168875">RTX Pro 6000 Blackwell多款頂級GPU加速卡</a>，Nvidia在8月發表入門級<a href="https://blogs.nvidia.com/blog/blackwell-ai-acceleration-workstation-rtx-pro/">RTX Pro 4000 SFF Edition與RTX Pro 2000 Blackwell</a>，到了12月宣布<a href="https://blogs.nvidia.com/blog/rtx-pro-5000-72gb-blackwell-gpu/">中高階產品RTX Pro 5000 Blackwell上市</a>，可加速各種應用，舉凡AI的開發、大型語言模型推論、生成式AI工作流程，以及高度擬真的模擬、影片製作，以及繁複的3D建模，可均透過桌上型工作站電腦實現。目前這款GPU加速卡透過Ingram Micro、麗臺科技、Unisplendour、xFusion等公司供應，2026年初將經由多家全球系統整合商擴大市場供貨規模。</p> <p>依照Nvidia原本的規畫，這款GPU與最新推出的Blackwell工作站GPU產品RTX Pro 6000 Blackwell Workstation Edition、RTX Pro 6000 Blackwell Max-Q Edition一樣，同屬代號GB202的GPU平臺，都支援Nvidia特有的GPU硬體分割技術：多執行個體GPU（MIG），不僅搭配較少量的CUDA核心（14,080個vs. 24,064個）、Tensor核心（440個 vs. 752個）、RT核心（110個vs. 188個），搭配的GDDR7記憶體容量也少了一半（48 GB vs. 96GB）。不過，相較於上一代產品RTX A5000（採用Ampere架構、配備24 GB GDDR6記憶體），新推出的RTX Pro 5000 Blackwell的記憶體容量增加1倍，可適用於大數據分析、建立複雜的3D模型，以及不間斷地執行AI強化的多系統工作流程。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia RTX Pro Blackwell Portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20RTX%20Pro%20Blackwell%20Portfolio.jpg" style="width: 600px;" /></a></p> <p>令人訝異的是，在RTX Pro 5000 Blackwell真正問世的此刻，他們突然宣布提供額外內建72 GB記憶體的硬體組態選擇，記憶體容量起比先前預告的單一規格增加了50％。</p> <p>此外，由於採用Blackwell架構，這款GPU內建多工作負載排程與其他創新技術，可針對AI、類神經網路著色、模擬等應用，提供高吞吐量的處理能力，運算效能號稱可達2,142 TOPS。但令人不解的是，Nvidia在公開的產品規格資訊當中，將RTX Pro 5000 Blackwel的AI運算效能標示為2,064 TOPS（FP4、稀疏化處理），他們並未說明何以有數值落差。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia RTX Pro 5000 Blackwell MEM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20RTX%20Pro%205000%20Blackwell%20MEM.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia RTX Pro 5000-6000.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20RTX%20Pro%205000-6000.png" style="width: 600px;" /></a></p> <p>在生成式AI應用當中，Nvidia也揭露效能大幅提升的狀況。以上一代GPU產品RTX A5000為基準，最新配備72GB GDDR7記憶體的RTX Pro 5000 Blackwell，生成圖片影像的效能可提升至3.5倍，生成文字的效能達到兩倍。</p> <p>用於創意內容工作流程，像是橫跨Arnold、Chaos V-Ray、Blender多種路徑追蹤引擎的處理，D5 Render與Redshift這類即時GPU著色器，配備72 GB記憶體的RTX Pro 5000 Blackwell著色處理時間可節省到4.7倍之多。</p> <p>而在電腦輔助設計與產品設計的應用上，配備72 GB記憶體的RTX Pro 5000 Blackwell可供應兩倍以上的圖形處理效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RTX Pro 5000 GenAI Performance.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RTX%20Pro%205000%20GenAI%20Performance.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;">Nvidia RTX Pro 5000 Blackwell</span><br /> ●原廠：Nvidia<br /> ●建議售價：廠商未提供<br /> ●外形：雙槽，長10.5吋高4.4吋<br /> ●GPU架構：Blackwell<br /> ●CUDA處理核心數量：14,080個<br /> ●Tensor核心數量：440個（第五代Tensor核心）<br /> ●RT核心數量：110個（第四代RT核心）<br /> ●內建記憶體容量：GDDR7，48GB或72 GB<br /> ●記憶體頻寬：1,344 GB/s<br /> ●連接介面：PCIe 5.0 x16<br /> ●支援NVLink：否<br /> ●單精度運算效能：65 TFLOPS<br /> ●RT核心效能196 TFLOPS<br /> ●AI運算效能（FP4）：2,064 TOPS<br /> ●視訊連接埠：2.1b版DisplayPort規格，4個<br /> ●視訊處理引擎：3個NVENC（第9代）、3個NVDEC（第6代）<br /> ●多執行個體GPU（MIG）：2個24 GB記憶體或1個48 GB記憶體，2個36 GB記憶體或1個72 GB記憶體<br /> ●耗電量：300瓦<br /> ●支援繪圖處理API：Shader Model 6.6、OpenGL 4.6、DirectX 12、Vulkan 1.3<br /> ●支援運算處理API：CUDA 12.8、DirectCompute、OpenCL 3.0</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/12/24 13:55作者李宗翰https://www.ithome.com.tw/review/172971
Google在臺解析Passkey技術新進展，展示Credential Manager最新強化功能，降低開發者導入門檻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在12月初舉行的FIDO Taipei Seminar 2025研討會上，FIDO聯盟在臺公布Passkey最新成果，同時指出<a href="https://www.ithome.com.tw/news/172885">現階段仍有3大關鍵課題需持續突破</a>。特別的是，現場亦有Google專家解析其Credential Manager的研發成果與最新進展，協助開發者與企業精準掌握實務發展方向。</p> <p>對於如何持續優化Passkey的使用者體驗、朝向整體安全設計？持續是開發者與企業在身分驗證設計上的共同關注焦點。在這場研討會中的一場演說中，Google開發人員倡議者Eiji Kitamura，以及Google資深開發者關係工程師暨FIDO印度工作小組主席Niharika Arora，兩人談及Google在這方面的最新發展與規畫。我們整理為以下三個重點：</p> <h2><span style="color: rgb(178, 34, 34);"><strong>重點一：推出整合Passkey的Credential Manager</strong></span></h2> <p>這是一套2023年推出的全新API，將密碼登入、聯盟登入等既有驗證方式與Passkeys整合到統一的登入介面，為Android開發者提供單一API介接方式。而且，相關憑證也可透過Google Password Manager等機制在使用者裝置間同步，帶來更好的跨裝置體驗。Google呼籲開發者，應及早導入<a href="https://developer.android.com/identity/credential-manager?hl=zh-tw">Credential Manager</a>，以優化用戶登入流程並有效降低Passkey的技術實作門檻。</p> <p>近期，Google也在持續擴展這項技術的運用，像是原先Web端提供多種登入選項，雖然彈性高，卻也讓使用者體驗變得複雜。因此，Google目前有一項測試中的計畫，也就是推進網站端的Credential Manager能力，同時，搭配一項名為Immediate mediation的實驗性技術來優化使用者體驗：當瀏覽器偵測到本機有可用憑證時，網站可透過單一對話框呈現「可用的憑證與帳戶」供使用者選擇；若找不到可用憑證，則會立即回傳結果並退回原本的登入流程，避免不必要的跨裝置登入提示干擾。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖X）FIDO 2025最新進展_Credential Manager_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89FIDO%202025%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95_Credential%20Manager_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px; height: 346px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖1)FIDO Taipei Seminar 2025_Google Credential Manager_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%961)FIDO%20Taipei%20Seminar%202025_Google%20Credential%20Manager_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h2><span style="color: rgb(178, 34, 34);"><strong>重點二：促進Passkey應用普及，自動建立與復原機制</strong></span></h2> <p>Eiji Kitamura指出，光是整合Passkey技術，並不足以讓其真正被廣泛使用，因此Google採取兩項作法，包括：打造自動建立Passkey的機制，以及新增Restore Credentials API，以確保更換裝置時仍能維持無縫的登入體驗。</p> <p>他表示，Passkey不再是全新概念，真正的挑戰在於使用者是否願意改變既有的登入習慣。對於多數早已累積大量密碼用戶的服務而言，若轉換過程增加額外操作或學習成本，反而會降低接受度。</p> <p>因此，Google推出無縫從密碼升級至Passkey的相關機制，自動使用Google密碼管理工具建立Passkey。目前Android與Chrome桌面版已支援這項機制，最近他們又宣布擴展至Chrome的Android版。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）FIDO 2025最新進展_自動建立Passkey_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89FIDO%202025%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95_%E8%87%AA%E5%8B%95%E5%BB%BA%E7%AB%8BPasskey_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>裝置更換，也是影響使用者體驗的另一非常關鍵的情境。若使用者在新裝置上必須重新登入所有應用程式與網站，將大幅削弱Passkey所帶來的便利性。為此，Google在Credential Manager新增Restore Credentials API，以克服這項挑戰。</p> <p>Niharika Arora以Uber為實際案例，說明該機制的運作方式。當使用者在原有裝置上登入Uber時，應用程式會在背景產生一組加密的Restore key，並透過Credential Manager儲存於裝置中；若使用者啟用雲端備份，該金鑰也可同步至雲端。</p> <p>當使用者更換新裝置，設定時只需選擇要恢復的應用程式，如Uber，系統便會在應用程式安裝完成後，透過Restore key自動完成登入，使用者無須進行額外操作，即可回到已登入狀態。</p> <p>她強調，透過Restore Credentials API，將可提升Passkey的長期採用率，建議開發者及早評估並導入相關機制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%962)FIDO%20Taipei%20Seminar%202025_Google%20Credential%20Manager_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p>此外，他們還設計了Signal API，這是為了避免明明有Passkey卻無法登入的情況，像是當伺服器已刪除帳號憑證，但密碼管理員仍保留Passkey時，登入將會失敗。因此，Signal API的作用，就是讓伺服器能主動通知密碼管理員，並同步更新狀態，確保雙方資料一致。</p> <p>目前Credential Manager最新Beta版本已納入Signal API，並支援 Chrome桌面版與Android平臺，他們建議開發者可實際去測試。</p> <h2><span style="color: rgb(178, 34, 34);"><strong>重點三：兩項全新進展，憑證可攜與更強電話驗證</strong></span></h2> <p>還有兩項全新進展，是我們特別關注的議題，包括Google正實驗Passkey和密碼的匯入匯出機制，並且正打造更強固電話號碼驗證解決方案。</p> <p>去年底，我們曾報導FIDO聯盟發表憑證交換協定（CXP）與憑證交換格式（CXF），目的在於讓Passkey具備可攜性，能在不同平臺與服務提供者之間安全轉移與使用。</p> <p>Google表示，目前這方面已經有所進展，他們正在Android平臺實驗匯入與匯出機制，並規畫進一步延伸至Chrome瀏覽器，同時也預告將支援iOS平臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8）FIDO 2025最新進展_CXP_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89FIDO%202025%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95_CXP_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖8B）FIDO 2025最新進展_CXP_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968B%EF%BC%89FIDO%202025%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95_CXP_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>關於電話驗證方面，由於SMS簡訊OTP因容易遭攔截與社交工程濫用，被視為較弱的MFA機制，產業正逐步轉向Passkey等更強式驗證方式。</p> <p>同時，為了幫助過渡，Google針對仍需使用電話號碼的場景，正開發一種更安全的電話號碼驗證機制（Phone Number Verification，PNV）。該機制透過與電信業者的直接整合，並由Firebase等服務來協調與介接，讓開發者能以同一套Credential Manager API存取電話號碼驗證能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖9）FIDO 2025最新進展_PNV_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%89FIDO%202025%E6%9C%80%E6%96%B0%E9%80%B2%E5%B1%95_PNV_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>另外，Google也強調數位憑證（Digital Credentials）是未來發展一大重點。他們預期，未來幾年Android開發者可透過Credential Manager API，發展學歷、保險、會員卡等數位憑證應用，而政府身分證件的年齡驗證，已成為目前優先驗證與落地的使用情境之一。事實上，我國數位發展部也在打造數位皮夾，顯示相關發展已逐步進入實務階段。</p> </div></div></div>
2025/12/24 14:01作者羅正漢https://www.ithome.com.tw/news/173007
Rust使用者研究解析高黏著關鍵，但Async與生態碎片化成門檻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Rust語言核心貢獻者Niko Matsakis代表願景文件小組，<a href="https://blog.rust-lang.org/2025/12/19/what-do-people-love-about-rust/">發表</a>一篇使用者訪談資料整理，該研究試圖回答Rust為何自2015年1.0版以來，長期在Stack Overflow開發者調查中被視為最受喜愛的語言之一，也同時整理新手導入Rust時常遇到的卡關點。</p> <p>Rust最常被提到的優點是可靠性，多位工程師描述，只要Rust程式能編譯通過，通常就能順利執行的踏實感，讓人更敢重構與交付，也降低在重要系統中因人為疏忽導致的風險。而該優點不只對資深工程師有價值，對帶領團隊的人同樣重要，因為語言的規範與檢查機制形成護欄，讓較缺乏經驗的成員也能較安心地參與重要模組。</p> <p>效率與低階掌控也是反覆被提及的優點，研究提到，受訪者從資料中心到嵌入式系統都在意資源成本與效能，並分享把既有元件改寫為Rust後，在特定情境出現數倍到數十倍的提升，甚至也有案例提到上百倍的加速。另一個常被提到的面向是工具鏈帶來的支援性，受訪者多次提到Cargo把套件管理、建置與測試流程整合在一起，搭配Clippy等靜態檢查工具，以及編譯器清楚的錯誤訊息與建議，能大幅縮短摸索時間。</p> <p>研究強調，讓開發者離不開Rust並非單一優點，而是可靠性、效率與低階控制，加上工具鏈的支援性，以及語言與生態系提供的可擴充性，共同形成可信且用途廣泛的整體體驗。</p> <p>不過研究也點出，雖然Rust型別系統與抽象能力很強，能把不少規則直接寫進型別，減少錯誤發生，但一旦把泛型、生命周期與非同步機制（async）疊加在一起，型別可能變得難以閱讀，讓程式介面看起來比問題本身更複雜。套件生態是雙面刃，研究指出crates.io提供豐富的工具與創新，但選擇太多使新手難以判斷該採用的做法，尤其是錯誤處理、非同步執行環境等領域，常存在業界慣例與教學內容不一致的落差。</p> <p>研究最後提出三個改進方向，第一是把Rust想追求的整體使用體驗整理成清楚的設計目標，讓社群在評估新提案時有共同語言，第二是強化可擴充性，讓外部套件不只做出高效抽象，也能在診斷與開發體驗上提供更好的引導，第三則是改善生態導引與互通性，降低新手在套件選擇與整合上的摩擦，特別是非同步領域的碎片化問題。</p> </div></div></div>
2025/12/24 14:07作者李建興https://www.ithome.com.tw/news/173013
工作流程自動化工具n8n存在近滿分重大漏洞，恐導致任意程式碼執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>AI代理盛行，能將AI工具與日常工作流程整合，並在無須編寫程式碼的情況下，進行自動化的工具也趁勢而起，其中，工作流程自動化NPM套件n8n有許多用戶，而受到關注。n8n是開源工作流程自動化工具，使用者能透過拖曳節點的方式，將多種應用程式與服務（如Gmail、Slack、Notion、ChatGPT等）串接起來，無須撰寫程式碼就能建立自動化流程。此工具全球已有超過23萬名活躍使用者，臺灣社群累積逾1.3萬用戶，每週下載次數超過4.6萬，是2025年最受關注的新興自動化工具之一。</p> <p>若是這類平臺存在弱點，攻擊者不僅有可能打亂或竄改流程，甚至有可能用來從事網路攻擊。12月19日<strong><a href="https://github.com/n8n-io/n8n/security/advisories/GHSA-v98v-ff95-f3cp">n8n開發工程團隊發布公告</a></strong>，他們近期修補重大層級的遠端程式碼執行（RCE）漏洞CVE-2025-68613，此漏洞出現於工作流程的表達式評估系統，在執行情境裡若與底層執行環境未充分隔離，由通過身分驗證使用者提供的表達式，將有可能在工作流配置被評估。此時通過身分驗證的攻擊者有機會濫用上述現象，透過n8n處理程序的特殊權限執行任意程式碼，CVSS風險評為9.9分（滿分10分），他們已在一個月前發布的1.120.4、1.121.1，以及1.122.0版更新當中，修補這項漏洞。</p> <p>此漏洞影響0.211.0版至1.120.3版的n8n，攻擊者若是成功利用，就有機會完全入侵n8n實體（instance），從而在未經授權的情況下存取敏感資料、竄改工作流程，以及執行系統層級的作業。若是無法及時套用更新，管理員應採取臨時緩解措施因應，例如：限制建立工作流程與編輯權限、在受到限制的作業系統及強固環境部署n8n。n8n開發工程團隊強調，這些措施無法完全消除風險，用戶還是要儘速套用更新。</p> <p>值得留意的是，儘管上述更新已在一個月前發布，全球恐有超過10萬套n8n系統尚未修補CVE-2025-68613。根據資安業者Censys的威脅情報平臺統計，<strong><a href="https://censys.com/advisory/cve-2025-68613">12月22日有103,963套n8n存在漏洞</a></strong>，其中美國、德國，以及法國最多，分別有28,436、17,546，以及10,058個平臺曝險。臺灣是否有尚未修補的n8n，目前仍不得而知。</p> </div></div></div>
2025/12/24 11:31作者周峻佑https://www.ithome.com.tw/news/173006
永豐金控揭露多AI代理戰略布局，關鍵是Agent宇宙藍圖和五大基礎建設
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>永豐金控很早就投入先進AI技術研發，2017年就導入Nvidia DGX-1超級電腦，這是臺灣金融業的第一臺深度學習超級電腦，用於永豐和成大AI產學合作。AI研發成果豐碩，像是永豐金控科技長張天豪就是產學合作教授之一，近年更接連在全球AI頂級會議上發表論文，如2023年ICML、2024年NeurIPS等，與科技巨頭並列發表研發成果。</p> <p>投入AI研發多年，永豐金控終於在日前舉辦了科技年會，對外揭露成果。張天豪更揭露了永豐金控的AI未來發展藍圖。</p> <p>張天豪在2020年進入永豐擔任科技長，花了兩年時間，透過十多項重點試行專案，與業務單位建立合作的默契。尤其是2022年下半年的顧客基因專案，對精準行銷帶來的成效，讓業務單位信任技術團隊的落地能力。</p> <p>顧客基因專案包括了400多個模型組合而成的模型群，可以從顧客表現出來的資料，例如顧客交易紀錄、資產總覽與數位足跡等，萃取出顧客真實的意圖，例如資金需求、投資偏好等。可以用於不同的應用，從產品偏好的行銷、個人化理財建議的服務，到強化交易安全的風險控管等。</p> <h1><span style="color:#B22222;"><strong>2022～2025年瞄準四大領域，擴大AI應用廣度與深度</strong></span></h1> <p>有了顧客基因等專案打下的信任基礎，永豐金控從2022年開始擴大AI應用廣度和深度，遍及業務、流程、風險和理財四大領域。</p> <p>例如在業務面，建立顧客專屬的行銷基因，涵蓋三十多項指標，來提供個人化的商品推薦，例如AI模型篩選的信貸電銷名單，相較於人工篩選，可以達到更高的行銷成功率。</p> <p>另外，也發展了一套文件辨識OCR技術和RPA流程自動化技術，已經應用到銀行、證券和租賃子公司的紙本作業優化，累計有260項RPA，大幅縮短了需要加班的工時，一年節省了7萬人時。或像是2024年夏天，永豐金控率先推出的GAI投顧報告服務投資水晶球服務，用生成式AI彙整超過5百個新聞來源，產生AI投顧報告，這是臺灣第一款金融市場的AI摘要服務，也頗受好評。</p> <p>過去三年，永豐金控不只擴大應用規模，建立科技治理的制度，也強化了自身的AI基礎建設，像是建立了視覺化模型管理平臺，方便業務人員快速瀏覽「模型菜單」來管理，也透過系統整合和自動化，強化MLOps流程，減少建置和部署模型的時間。更投入潛力科技的研發，如投入分散式的邊緣運算架構，研發可以跨組織模型開發的聯合學習技術，也有成果發表到國際頂級會議上。</p> <h1><strong><span style="color:#B22222;">下一階段目標是加速普及，揭露四大AI發展策略</span></strong></h1> <p>從2026年開始，永豐金控開始邁入加速普及階段，對內要發揮GAI協助構思、快速生成的優勢，來提高員工日常任務的產能，對外則要展現技術力，來強化品牌辨識度和科技影響力。張天豪更揭露了永豐金控未來四大AI發展策略，包括了全域賦能、安全防護、智能中樞，以及核心實力。</p> <p>全域賦能策略要透過系統API化，驅動全場景的業務創新，張天豪用一句話來形容，要讓系統可以被AI呼叫。永豐金計畫將內部系統解構成金融元件，讓AI服務可以注入到業務、理財、封控、流程等核心環境，從被動的系統支援角色，轉變成主動的業務賦能。「AI代理要有行動的能力，得有手腳，甚至未來若要用來輔助交易，還必須串接到金融的核心主機，真的具有下單的能力，這是我們未來要努力的目標。」張天豪補充。</p> <p>在安全防護上，永豐金控希望內建全方位的AI治理，建立可信賴的數位邊界。像是透過嚴格的合規驗證與倫理檢查，來確保AI行為的安全、正確、可控、合規與透明，來保護顧客與公司的機敏資料。張天豪預估，2026年將可能要花一半的力氣來推動AI的安全防護。</p> <p>越是努力推動AI，越鼓勵員工使用AI，資安的挑戰就越大，甚至會出現新型態的挑戰。例如AI如何兼顧公平待客與資安防護？或是可解釋性如何實作等課題。</p> <h1><span style="color:#B22222;"><strong>打造一個以AI和數據為核心的邏輯中樞</strong></span></h1> <p>對張天豪率領的團隊來說，智能中樞就是他們的核心任務，要打造一個以AI和數據為核心的邏輯中樞。張天豪解釋，永豐金要導入「AI微服務」思維，將Agent解構成積木模組，來提高開發效率和應變速度，依據可複用性和複雜度分成模組層，中介層、應用層等不同類型的模組，來發展一個「永豐Agent宇宙」的多代理架構。</p> <p>除此之外，張天豪指出，要打造一個好的服務，不只靠模型，更需要知識。「你所擁有的知識，是否適合AI探索，能不能快速找到答案，這將是未來的關鍵。」永豐金計畫將前中後臺與外部數據，提煉成高價值的結構化知識，建立多種數據出口，像是人類用的UI、系統用的API和AI代理用的MCP協定等。 </p> <p>張天豪表示：「結合模組化的Agent和結構化的知識，就是永豐金控的智能中樞。」</p> <p>最後一項發展策略是強化核心實力，包括人才和基礎建設，來建立難以複製的技術護城河。人才也應該是基礎建設的一環，永豐金要提升全員GAI能力，建立基礎、專業到高管的三層式AI人才結構。未來也會持續投入軟硬體基礎建設，像是雲地運算設施、Agent管理平臺、Agent護欄控管中樞、K8s管理平臺等，來擴大運算基礎設施的規模。</p> <h1><strong><span style="color:#B22222;">首度公開永豐金控未來Agent宇宙的發展藍圖</span></strong></h1> <p>張天豪更公開了永豐金控的Agent宇宙發展藍圖，來涵蓋他們AI發展的各項戰略和重點元素。這張發展藍圖，以Agent宇宙為核心，四周是五大基礎建設，分別是下方的運算基礎建設、人才基礎建設、技術基礎建設，上方則是安全基礎建設，右方則是知識基礎建設。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/big-%E6%B0%B8%E8%B1%90%E9%87%91%E6%8E%A7Agent%E5%AE%87%E5%AE%99-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%B0%B8%E8%B1%90%E9%87%91%E6%8E%A7.jpeg" /></p> <p>在核心的Agent分為三層，分別是應用層、中介層和模組層。模組層大多是可以重複利用的模型、工具和引擎，像是CMoney MCP、DW MCP、爬蟲引擎，或是文件辨識模型、信用卡金流盜刷預測模型、顧客風險偏好預測模型，還有存、提、轉、匯工具等。</p> <p>中介層則包括了多款可支援各種應用場景的通用型助手，如新聞情報員、財報分析師、法遵小助手、法說會傳令兵、房貸估價師、交易代理員、系統開發規劃師等。</p> <p>最上面的應用層則涵蓋了四大類場景，業務、流程、風險和理財的各種AI助手或AI服務。舉例來說，業務面應用像是智能客服、顧問副手、電銷助理、估價助手等。流程類應用則像是人資幫手、卡務管家、軟體測試員、流程指揮家、知識管理員等。風險類則是目前項目最多的一類，像是盡職調查官、模型診斷師、帳戶稽核官、合規監察官等。</p> <p>在這個Agent宇宙藍圖中，這些不同的職務名稱，代表了永豐金控想要發展的AI助手或AI代理角色，也可以說是永豐金控整個金融AI應用願景的發展框架。</p> <p>為了支撐這樣大規模的AI應用，永豐金控也積極強化五大基礎建設。在運算基礎建設上，包括了Nvidai硬體算力資源、Azure微軟生態系統和AI Agent中央管理平臺，像是任務協調、提示版本管理、Token使用追蹤都屬於AI Agent中央管理平臺的功能。</p> <p>在人才基礎建設中則包括了AI人才招募的圖靈計畫，由中臺和產品人員協助挖掘GAI場景的數位幕僚，也展開GAI平民化計畫，透過培訓活動提升員工GAI的應用能力。同時永豐金控也會持續從事尖端技術的研發，來充實技術基礎建設。</p> <p>知識基礎建設則包括了法人金融、零售金融、數位金融、財富金融、信託業務、經紀業務等領域的前臺與中後臺知識，還會善用各種公開資料。安全基礎建設除了安全與合規驗證之外，還有事實驗證和幻覺防止機制，另外也有倫理與偏見防護，以及事後審查與問題追蹤機制。</p> <p>「J’right Experience！」張天豪用這句話來點出，透過這個龐大的Agent宇宙發展藍圖，他想實現的AI應用體驗是，「用了會忍不住脫口而出，就是要這樣才對。」</p> <p> </p> </div></div></div>
2025/12/24 12:49作者王宏仁https://www.ithome.com.tw/news/173012
MacSync Stealer偽裝合法App，成功通過macOS Gatekeeper防線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>鎖定macOS的資訊竊取型惡意程式MacSync Stealer，正悄悄改變其投放方式。資安業者<a href="https://www.jamf.com/blog/macsync-stealer-evolution-code-signed-swift-malware-analysis/" target="_blank">Jamf近日揭露</a>，最新觀察到的MacSync Stealer已不再依賴傳統的社交工程終端機指令，而是改以「已完成程式碼簽署與Apple公證」的Swift應用程式作為投放工具，成功通過macOS的Gatekeeper安全檢查。</p> <p>MacSync Stealer至少自2023年起開始活動，主要目標是竊取使用者的瀏覽器帳密、系統資訊以及加密貨幣錢包資料。早期版本多半假冒通訊軟體或系統工具，誘騙使用者將檔案拖入終端機，或依指示貼上一段經過混淆的指令碼。這類手法雖然成功率不低，但行為本身相當可疑，也容易被防毒軟體或企業端點防護機制攔截。</p> <p>然而，Jamf發現新版本的MacSync Stealer在投放策略上出現關鍵轉變。駭客改以Swift開發一個具備合法程式碼簽署，並通過蘋果軟體公證機制（Notarization）的Mac應用程式作為投放工具。該程式被包裝在磁碟映像檔中，外觀與一般合法App無異，使用者只要依照正常安裝流程雙擊執行，便可通過macOS的Gatekeeper安全機制，全程不需要任何終端機操作。</p> <p>該應用程式本身並不直接執行竊資行為，而是扮演投放工具的角色。它會先檢查網路連線與執行環境，確認條件符合後，再從遠端伺服器下載真正的惡意指令碼執行，完成後即清除暫存檔案，降低被追蹤的可能性。</p> <p>值得注意的是，Gatekeeper的設計初衷，是阻擋來自不明來源或未經簽署、公證的軟體。此次案例並非利用系統漏洞，而是濫用Apple的信任機制。只要駭客取得合法開發者憑證，並在尚未被發現前通過公證流程，就能讓惡意程式在外觀上與一般合法App無異。</p> <p>在收到Jamf通報後，蘋果已撤銷該開發者憑證。之後舉凡是使用該憑證簽署的程式，在使用者端執行時，macOS理應會觸發Gatekeeper的安全檢查，並可能遭到阻擋或顯示警告。</p> </div></div></div>
2025/12/24 11:56作者陳曉莉https://www.ithome.com.tw/news/173008
Anthropic開源Bloom自動生成行為評估，量化模型偏差與風險行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Anthropic<a href="https://www.anthropic.com/research/bloom">開源</a>Bloom提供自動化行為評估生成，研究者可先定義想觀察的目標行為，Bloom再以自動生成的多種情境測試模型，彙整出行為出現頻率與強度等量化指標。Anthropic同時釋出4項對齊相關行為在16款先進模型上的基準結果，作為後續比較的起點。 </p> <p>Anthropic說明，行為評估對理解先進模型的對齊狀態很重要，但傳統評估往往需要長時間建置，還可能因訓練資料汙染或模型能力快速提升而失去鑑別力。Bloom的目標是縮短評估成形的周期，讓研究者把心力放回量測行為本身，而不是花在評估流程的工程建置上。</p> <p>Bloom與Anthropic先前開源的自動化行為探索工具Petri互補。Petri通常從研究者指定的情境出發，透過多輪對話與模擬使用者和工具互動來探索模型行為，並以多個面向評分來浮出可能需要人工追查的案例。Bloom則鎖定單一目標行為，自動生成大量情境，量化該行為出現的頻率與嚴重程度，較適合用於模型對照測試與趨勢追蹤。</p> <p>Bloom會以4段自動程序完成一套評估，首先解讀研究者提供的行為描述與範例逐字稿，再產生用來誘發目標行為的評估情境，接著將情境套用到目標模型，最後由評分模型替每段互動逐字稿打分並產出套件層級的分析。Anthropic在文章中示範Bloom可產生的評估套件，包含妄想式逢迎、受指示的長期破壞、自我保全，以及自我偏好偏誤，並把同一套方法套用到16款先進模型。</p> <p>為了說明評估的可信度，Anthropic也公開兩組驗證結果，其一是拿正式版Claude模型對照以系統提示刻意塑造特殊行為的模型樣本，在10種行為中有9種能被Bloom區分。</p> <p>其二則是以人工標註的40份逐字稿為基準，檢查自動評分模型的判讀是否貼近人工標註，係數越接近1，代表評分模型對逐字稿的高低分判斷，和人類的判斷越一致。Claude Opus 4.1與人工標註的相關係數達0.856，屬於高度一致，Claude Sonnet 4.5為0.747。對照其他模型，Gemini 2.5 Pro為0.636、Gemini 2.5 Flash為0.519、GPT-5為0.468、GPT-5 mini為0.531、o4-mini為0.273以及GPT-OSS-120B為0.234。 </p> <p>Bloom目前已在GitHub開源釋出，Anthropic認為，隨著AI系統被導入更複雜的工作環境，外界需要更可擴展的方式來描述與追蹤模型行為。</p> </div></div></div>
2025/12/24 10:08作者李建興https://www.ithome.com.tw/news/172991
【資安週報】1215~1219，零時差漏洞攻擊鎖定思科與SonicWall產品。IDC預期2026年機器身分安全風險增加
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在2025年12月第三個星期的資安新聞中，漏洞攻擊消息頻傳，有兩起零時差漏洞攻擊發生，思科、SonicWall的產品遭鎖定，還有攻擊者鎖定「剛修補已知漏洞」快速發動攻擊的狀況，同樣值得我們高度關注。我們整理如下：</p> <p>●思科Talos緊急揭露中國駭客鎖定思科電子郵件設備SEG、SEWM攻擊，目標是零時差漏洞CVE-2025-20393，對方在受影響設備的底層作業系統上，以root權限執行任意命令，並部署AquaShell後門。目前尚未釋出修補程式，呼籲用戶依照建議緩解威脅。<br /> ●有攻擊者鎖定SonicWall SMA1000零時差漏洞發動攻擊，目標是CVE-2025-40602，修補程式已經釋出，此漏洞是由Google威脅情報小組通報，攻擊者身分與細節尚未公開。<br /> ●Fortinet修補旗下產品的重大漏洞CVE-2025-59718及CVE-2025-59719，兩天後，資安業者示警，已觀察到FortiGate裝置出現惡意單一登入（SSO）的跡象。<br /> ●React2Shell漏洞攻擊已連續三個星期成為焦點，漏洞公布最初數小時，就發現中國駭客利用此漏洞來發動攻擊，如今威脅更嚴峻：Palo Alto Networks已確認有逾30家企業受害，Google TAG指出至少5組中國駭客都在漏洞利用行列，Cloudflare發現攻擊者正鎖定臺灣、新疆維吾爾、越南、日本與紐西蘭發動攻擊。</p> <p>另外，還有兩起重要漏洞消息需留意，一是PCI-SIG揭露PCIe的IDE安全機制存在3項資安漏洞，隨後Intel與AMD亦發布安全公告，建議透過韌體更新因應，另一是華碩揭露ASUS Live Update的漏洞CVE-2025-59374，美國CISA隨即列入KEV要求當地機關限期修補，而根據漏洞描述，這應是2019年俄羅斯駭客發動Live Update供應鏈攻擊事故時的漏洞，因此並非緊急事件，而是正式將這項在CVE編號發布前即已存在的已知威脅納入KVE。</p> <p>在資安事件方面，國際間有3起重大事故，包括：法國內政部公告遭網路攻擊，指出郵件伺服器遭入侵，義大利國安局收到情報有駭客潛伏義大利渡輪Fantastic意圖植入惡意程式RAT，兩名二十多歲嫌犯遭逮捕，還有資料分析服務公司被ShinyHunters駭客組織入侵一事亦成焦點，因為成人網站PornHub公告表明受此事牽連，有部分Premium付費用戶的分析資料因事故外流。</p> <p>在資安防禦動向上，產品資安發展成主要焦點，最近我們製作封面故事深入探討此事，強調產品資安開始成為法規明文要求，尤其歐盟網路韌性法（CRA）生效後，漏洞通報要求將於2026年9月先上路，呼籲臺灣產品業者需及早建立產品資安事件應變團隊，甚至積極落實Security by Design與Secure by Default，我們並邀請3家業者分享實務經驗，包括合勤科技、威聯通科技與四零四科技。</p> <p>此外，我們注意到2025年CVE漏洞已達4.5萬個，再創新高，因此也請ZDI專家解析其態勢與意義。</p> <p>另一項重要消息是在打詐方面，數位發展部宣布，網詐通報查詢網升級至3.0版，這次主要聚焦情資聯防能力的提升，不僅開放縣市政府通報，強化跨部會API串接，也在系統中整合第三方機構的情資，並增強「公眾人物與企業專屬通報機制」，並希望持續促進民眾參與度提高。</p> <p>而在促進企業修補漏洞方面，英國國家網路安全中心（NCSC）有新作法，他們嘗試透過公開資訊與可觀察的外部行為，並與Netcraft合作寄送漏洞預警通知，希望避免企業因未主動追蹤漏洞而暴露風險的狀況，以更主動方式提醒企業留意對外系統的潛在弱點。</p> <p>至於資安產業動態，對於即將到來的2026年，市場調查機構IDC指出，隨著AI與Agentic AI快速成長，其產生的Token往往缺乏管理機制，加上NHI（非人類身分）與機器身分暴增，服務帳號大量生成、散落於不同部門與開發流程，因此指出身分與存取管理（IAM）的需求將大幅攀升，並帶動人類與機器身分管理IAM相關產品及服務市場成長。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/172834"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月15日】開發人員在Docker Hub曝露大量憑證，有人將其收集並在地下論壇兜售</span></strong></a></h3> <p>有資安公司針對開發人員在Docker Hub曝露大量憑證的情況提出警告，他們在11月上傳的約1萬個映像檔裡，發現超過4成曝露5種以上的憑證，有可能讓攻擊者完整存取雲瑞環境、Git程式碼儲存庫、CI/CD系統，以及支付系統等</p> <h3><a href="https://www.ithome.com.tw/news/172853"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月16日】更多中國駭客加入利用React2Shell的行列</span></strong></a></h3> <p>引起全球資安圈高度關注的重大漏洞CVE-2025-55182（React2Shell），Google威脅情報團隊（GTIG）週末揭露最新調查結果，指出有5組中國國家級駭客用於散布隧道工具、惡意程式下載工具，以及後門程式等作案工具</p> <h3><a href="https://www.ithome.com.tw/news/172883"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月17日】MITRE公布最危險的漏洞類型，XSS居冠</span></strong></a></h3> <p>近日MITRE揭露最危險的25種型態的資安漏洞，延續去年態勢，跨網站指令碼（XSS）、SQL注入，以及跨網站請求偽造（CSRF）仍是前3大威脅，然而值得留意的是，多種記憶體緩衝區溢位類型的弱點，今年也入榜</p> <h3><a href="https://www.ithome.com.tw/news/172902"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月18日】日本電商Askul公布勒索軟體攻擊事故調查結果</span></strong></a></h3> <p>兩個月前<a href="https://www.ithome.com.tw/news/171785">日本無印良品網路商站部分業務出現中斷</a>，原因是日本B2B電子商務與物流公司Askul遭勒索軟體攻擊，近期Askul發布調查報告說明，整起事故發生的導火線，是業務委外端有管理者帳號未啟用多因素驗證（MFA）釀禍</p> <h3><a href="https://www.ithome.com.tw/news/172917"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月19日】華碩已終止支援的軟體更新工具漏洞遭到利用</span></strong></a></h3> <p>本週三（12月17日）<strong><a href="https://www.cisa.gov/news-events/alerts/2025/12/17/cisa-adds-three-known-exploited-vulnerabilities-catalog">美國網路安全暨基礎設施安全局（CISA）針對思科、SonicWall，以及華碩的資安漏洞提出警告</a></strong>，指出這些漏洞已遭利用，並列入已遭利用的漏洞列表（KEV），其中華碩軟體更新工具Asus Live Update的資安漏洞CVE-2025-59374格外引人注目，因為此漏洞<strong><a href="https://www.ithome.com.tw/news/129588">曾在6年前</a></strong>被APT駭客用於供應鏈攻擊</p> </div></div></div>
2025/12/24 10:13作者羅正漢https://www.ithome.com.tw/news/172996
羅馬尼亞水務局傳出遭勒索軟體攻擊，駭客利用BitLocker將檔案加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>羅馬尼亞水務管理署（Administrația Națională Apele Române）上周末遭到勒索軟體攻擊，傳近千臺電腦無法運作。</p> <p>該單位於12月20日向羅馬尼亞國家網路安全局<a href="https://www.dnsc.ro/citeste/comunicat-presa-atac-cibernetic-ransomware-apele-romane" target="_blank">通報</a>，上周水務管理署及羅馬尼亞10個流域管理單位眾多電腦和伺服器遭到勒索軟體攻擊。該事件影響近1000個ICT系統，包括地理資訊系統應用伺服器、資料庫伺服器、Windows工作站、Windows伺服器、電子郵件和網頁伺服器，以及域名伺服器（DNS）等。經過調查，發現勒索軟體是濫用Windows BitLocker的加密機制來加密受害系統上的檔案。</p> <p>但當局表示，營運科技（OT）未受影響，因此用水調度和水利設施運作等日常作業仍在「正常範圍」內執行。水利設施安全由本地值班人員在調度部門的協調下進行本地操作。。</p> <p>水務管理署已和資安部門合作以及早回復資訊系統，並說，水務署的基礎架構之前不在羅馬尼亞國家安全防護體系保護範疇內，但現在政府已著手將該基礎設施整合到CNC開發的系統中，並透過智慧技術確保其安全。</p> <p>網路安全局透露，此時當局已接獲歹徒勒索訊息。不過目前還沒有勒索軟體組織出面坦承犯案。</p> <p>這是兩周以來歐洲各國政府單位遭到的最新一起網路攻擊。法國內政部及郵局接連遭到駭客攻擊，前者被駭入電子郵件系統，後者事件於本周發生，造成幾乎所有資訊系統停擺。</p> <p>此外，<a href="https://www.ithome.com.tw/news/172977" target="_blank">丹麥</a>及<a href="https://www.ithome.com.tw/news/169992" target="_blank">挪威</a>的水務管理單位分別在去年及今年四月遭到網路攻擊，兩國政府皆指控背後是和俄羅斯政府有關的駭客組織所為。</p> </div></div></div>
2025/12/24 10:21作者林妍溱https://www.ithome.com.tw/news/172998
鳳凰城大學Oracle EBS遭駭事件外洩350萬人資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>美國鳳凰城大學（University of Phoenix，UoPX）<a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/422db005-448f-4772-afc6-07dabfa169a8.html" target="_blank">報告</a>，三個月前駭客駭入Oracle E-Business Suite（EBS），竊走350萬人個資。</p> <p>12月初鳯凰城大學<a href="https://www.ithome.com.tw/news/172638" target="_blank">公告</a>，在美商甲骨文公司公告EBS零時差漏洞後，該校自我檢查後證實發生EBS資料外洩事件。未經授權人士存取了EBS儲存的現任及前任師生、職員及供應商個資，包含聯絡資訊、出生日期、社會安全碼，以及銀行帳號和匯款編號。但當時不清楚有多少人受影響。</p> <p>根據該校向緬因州檢察長辦公室呈交的<a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/422db005-448f-4772-afc6-07dabfa169a8.html" target="_blank">報告</a>，事件發生於8月13日。總影響人數達3,489,274。</p> <p>雖然鳳凰城大學未說明犯案者的身份，但推論應是近期公佈Oracle EBS外洩資料受害者名單的Cl0p駭客。目前該組織宣稱已取得上百家組織的資料。</p> <p>同樣是Oracle EBS資料外洩受害者的<a href="https://www.ithome.com.tw/news/172587" target="_blank">賓州大學</a>及<a href="https://www.ithome.com.tw/news/172492" target="_blank">達特茅斯學院</a>分別外洩了1500人及上千人。<a href="https://www.scworld.com/news/harvard-university-impacted-in-oracle-ebs-zero-day-exploitation" target="_blank">哈佛大學</a>則稱只有部份行政單位受到影響。</p> <p>Cl0p組織前科累累，美國政府<a href="https://www.ithome.com.tw/news/157416" target="_blank">懸賞</a>千萬美元徵求其資訊。它曾涉及MOVit、<a href="https://www.ithome.com.tw/news/143148" target="_blank">Accellion</a>、<a href="https://www.ithome.com.tw/news/156013" target="_blank">GoAnywhere</a>、<a href="https://www.ithome.com.tw/news/168434" target="_blank">Cleo</a>等多種資料傳輸平臺的漏洞濫用攻擊。近期資安研究人員發現，資料傳輸平臺<a href="https://www.ithome.com.tw/news/172988" target="_blank">CentreStack</a>伺服器遭人掃描超過200臺公開暴露主機，可能是勒索集團Clop所為。</p> </div></div></div>
2025/12/24 10:29作者林妍溱https://www.ithome.com.tw/news/173000
ServiceNow將以77.5億美元收購資安新創Armis
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>雲端企業營運管理平臺ServiceNow周二（12/23）<a href="https://newsroom.servicenow.com/press-releases/details/2025/ServiceNow-to-acquire-Armis-to-expand-cyber-exposure-and-security-across-the-full-attack-surface-in-IT-OT-and-medical-devices-for-companies-governments-and-critical-infrastructure-worldwide/default.aspx" target="_blank">宣布</a>，將以77.5億美元的現金收購專注於網路曝險管理的資安公司Armis，未來雙方將共同打造一套端到端的資安曝險與營運平臺，此項收購可望讓ServiceNow在資安與風險解決方案的潛在市場規模成長超過3倍，並加速其發展自主、主動式資安產品。</p> <p>2004年在美國創立的ServiceNow最初以雲端IT服務管理（IT Service Management，ITSM）起家，協助企業將分散的IT支援與營運流程標準化。隨著產品擴展，ServiceNow發展為涵蓋企業工作流程、資安、風險與AI治理的雲端平臺，並於2012年上市，客戶遍及大型企業與政府機構。ServiceNow在今年第三季創下34.07億美元的<a href="https://www.servicenow.com/it/company/media/press-room/third-quarter-2025-financial-results.html" target="_blank">營收</a>，成長22%，光是訂閱便占了33億美元，每股盈餘為2.4美元。</p> <p>創立於2015年的Armis則是一家專注於網路曝險管理的資安公司，其核心價值在於解決企業「看不見自己連了什麼、風險在哪」的根本問題。其平臺採用無代理程式技術，可即時盤點IT、OT、IoT與醫療裝置等各類連網設備，Armis不只標示漏洞，更將設備風險與實際業務影響連結，協助企業判斷優先修補順序，特別適用於工廠、醫院與關鍵基礎設施等無法停機或安裝軟體的環境。</p> <p>ServiceNow總裁、營運長暨產品長Amit Zavery表示，ServiceNow正在打造下一世代的資安平臺。在代理型AI時代，企業若要長期擴大AI應用，橫跨任何雲、任何資產、任何AI系統與任何裝置的智慧信任與治理已不可或缺。與Armis結合後，將提供即時、端到端、主動防護的產業級資安防護。</p> <p>至於Armis共同創辦人暨執行長Yevgeny Dibrov則說，AI正在以前所未有的速度改變威脅版圖，每一個連網資產都可能成為潛在弱點，與ServiceNow結合之後，客戶將能以全新的方式於大規模環境中降低曝險並強化資安。</p> <p>根據雙方的規畫，未來Armis的資安產品將整合至ServiceNow的工作流程，提供端到端防護與全生命周期行動，特別適用於製造、醫療等具備資安實體資產的產業，讓資安團隊能超前威脅者，而非在事件發生後被動回應。</p> <p>雙方預計於2026年下半年完成交易，之後Armis即會併入ServiceNow。</p> </div></div></div>
2025/12/24 10:43作者陳曉莉https://www.ithome.com.tw/news/173001
法國郵政遭DDoS攻擊網站、行動服務皆斷線親俄駭客組織NoName057宣稱犯案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.facebook.com/100064235277223/posts/pfbid02EprNsJrv1S8TYSNiB5Yrf54BDzWk38pCH6beq5MzTRd2LFPNzsMC1ANtWX5tLaHSl/" target="_blank">法國郵政（La Poste）昨（23）日證實遭到網路攻擊</a>，導致包含銀行及網站所有資訊服務皆斷線。親俄駭客組織NoName057宣稱犯案。</p> <p>由法國政府全資擁有的法國郵政提供包含金融及郵遞服務。<a href="https://www.theguardian.com/world/2025/dec/22/frances-national-post-office-hit-by-suspected-cyberattack" target="_blank">媒體報導</a>，周一（12/22）法國郵政遭遇分散式阻斷服務（DDoS）攻擊，雖然沒有資料外洩，但民眾寄送或領取郵件包裹皆被拒絕受理。</p> <p>根據法國郵政說明，受到「重大」網路事件影響，所有線上服務，包括網路銀行、網銀手機App、法國郵政App、網站如lapost.fr、Digiposte、數位身分服務等都暫時無法使用。</p> <p>法國郵政表示正全力恢復服務。目前網路及行動服務斷線，但銀行客戶仍然可以透過簡訊驗證執行線上支付。實體管道像是ATM取款、店內PoS終端機刷卡支付或歐洲電子錢包Wero轉帳服務也不受影響。在郵政服務部分，部分郵局的數位服務無法使用，因此用戶必須臨櫃辦理銀行和郵政業務。</p> <p>自稱NoName057的駭客組織<a href="https://x.com/fs0c131y/status/2003457036315512838" target="_blank">宣稱犯案</a>。NoName057正是今年年初聲稱以DDoS手法攻擊臺灣超過30個網站的親俄駭客組織。該波攻擊的受害者涵蓋政府機關、地方政府、機場、港務機關，可能也包含知名企業如青雲科技、世芯電子、大眾電腦、台塑等。</p> <p>但尚未有研究支持NoName057和本起攻擊的關聯性。</p> <p>這是法國政府遭遇的最新一宗網路攻擊。上周法國內政部遭人駭入電子郵件系統，存取了某些檔案，同時間一名駭客在重新上線的地下論壇BreachForums宣稱是其所為，目的在報復法國官方逮捕其友人。法國警方在追查內政部攻擊一案中本周逮捕了一名22歲的嫌犯。</p> </div></div></div>
2025/12/24 10:55作者林妍溱https://www.ithome.com.tw/news/173002
實體營運管理平臺Motive申請IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在2013年創立、以車隊管理軟體起家的Motive Technologies周二（12/23）在美國<a href="https://gomotive.com/motive-files-registration-statement-for-proposed-initial-public-offering/" target="_blank">申請首次公開發行股票</a>（Initial Public Offering，IPO），打算以MTVE為代號，登上紐約股市（NYSE）。</p> <p>創立於舊金山的Motive原名Keep Truckin，以車隊管理及行車安全起家，服務對象涵蓋運輸/物流、建築、能源、製造、農業與公共部門；並從最初的車隊管理工具擴展為專注於實體營運（Physical Operation）的AI平臺，於單一系統上整合了車隊與設備管理、支出管理、人力管理、AI視覺，以及駕駛安全；協助企業統一管理人員、車輛、設備與相關支出，並以AI自動化關鍵營運流程。Motive的營收核心為服務訂閱。</p> <p>根據Motive提交給美國證券交易委員會（SEC）<a href="https://www.sec.gov/Archives/edgar/data/1646681/000162828025058773/motive-sx1.htm" target="_blank">的文件</a>，該公司在2023年的營收為3.1億美元，2024年成長至3.7億美元，2025年的前9個月則是3.27億美元，成長21.7%；同一期間分別虧損了1.09億美元、1.53億美元，以及1.39億美元。</p> <p>Motive的客戶涵蓋了美國油田服務公司Halliburton、芬蘭電梯/手扶梯設備供應商KONE、日本工程與礦業設備製造商Komatsu、美國大型媒體與娛樂集團NBCUniversal，以及丹麥貨櫃航運與物流集團Maersk等。</p> <p>Motive在2025年5月的估計約為2.9億美元，股東包括Kleiner Perkins、Insight Partners及Google Ventures等。</p> </div></div></div>
2025/12/24 11:08作者陳曉莉https://www.ithome.com.tw/news/173004
勒索集團Clop傳鎖定Gladinet CentreStack，疑利用漏洞竊取資料進行勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>威脅情資平臺Curated Intelligence<a href="https://www.linkedin.com/posts/curatedintelligence_psa-incident-responders-from-the-curated-activity-7407480091133231104-C6hv/">提醒</a>，事件應變人員近期在多起案件中觀察到疑似與Clop相關的新一波資料外洩勒索行動，攻擊目標鎖定網際網路對外的Gladinet CentreStack檔案伺服器。該社群依據近期連接埠掃描結果估算，至少有200個以上具公開IP的主機，其網頁標題顯示為「CentreStack - Login」，因此被視為潛在暴露面。</p> <p>目前仍無法確認攻擊者利用的漏洞編號與入侵入口，尚不清楚是零時差漏洞，或是既有弱點因延遲修補而被趁虛而入。根據<a href="https://www.bleepingcomputer.com/news/security/clop-ransomware-targets-gladinet-centrestack-servers-for-extortion/">外媒BleepingComputer引述Curated Intelligence的說法</a>，攻擊者已在遭入侵的伺服器上留下勒索訊息。</p> <p>同一期間，資安業者Huntress公布研究<a href="https://www.huntress.com/blog/active-exploitation-gladinet-centrestack-triofox-insecure-cryptography-vulnerability">指出</a>，CentreStack與Triofox因採用寫死的AES加密相關值，可能在未經驗證的情況下被特製請求利用，造成任意本機檔案讀取，包含取得關鍵設定檔web.config，並替後續的ViewState反序列化與遠端程式碼執行創造條件。該漏洞已被指派為CVE-2025-14611，NVD指出受影響範圍為16.12.10420.56791之前版本。</p> <p>Huntress更新補充，已看到其他情資組織回報Clop正在鎖定對外CentreStack伺服器，但仍處於早期階段，尚無法完全確認相關行為可明確歸因於Clop。研究人員同時提到，另觀察到兩起疑似CentreStack遭濫用事件，遙測顯示伺服器端出現IIS相關程序異常觸發命令列與PowerShell等行為，並與ASP.NET的ViewState反序列化漏洞CVE-2025-30406攻擊跡象相符。</p> <p>研究人員建議，用戶應立即盤點是否有CentreStack或Triofox伺服器直接對外，並加速升級至16.12.10420.56791或更新版本，輪換web.config中的machineKey，以降低設定檔外洩後被重複利用的風險。由於目前攻擊行動仍在發展中，組織應持續關注後續公告與情資更新，並以日誌監控與異常行為偵測做為防護。</p> </div></div></div>
2025/12/24 08:00作者李建興https://www.ithome.com.tw/news/172988
【資安日報】12月23日，中國駭客Ref7707將攻擊範圍延伸至歐洲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172984"><strong style="font-size: 22px;">中國駭客Ref7707鎖定歐洲政府機關而來，挾持受害組織的IIS與SharePoint主機充當C2</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CGHLFP3XET-rId22.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CGHLFP3XET-rId22.png" style="width: 300px; float: right;" /></a></p> <p>被稱為Ref7707、CL-STA-0049、Earth Alux，以及Jewelbug的中國駭客組織，近期傳出有新一波的攻擊活動受到關注，他們打造名為NanoRemote的惡意程式，並濫用Google Drive的API充當C2，以及藏匿惡意軟體檔案的管道。如今傳出這些駭客擴張攻擊範圍，從東南亞及南美洲，延伸到歐洲與其他地區。</p> <p>資安公司Check Point揭露Ref7707（該公司稱為Ink Dragon）針對歐洲的攻擊行動。這些駭客從2023年開始，多次鎖定政府機關、電信業者，以及公營事業基礎設施下手，主要的攻擊多半出現在東南亞及南美洲，不過，他們近期對歐洲與其他地區帶來的威脅，變得越來越嚴重。這些駭客活動的主要特徵，是綁架受害組織的網路環境，用於建構大型分散式中繼網路。駭客在受害組織部署名為ShadowPad的IIS監聽模組，將被滲透的伺服器轉化成能接收指令並轉發的通訊節點，使得他們的行蹤變得更難以捉摸。</p> <p>針對這些駭客入侵受害組織的過程，他們通常會運用曾被外洩的金鑰，試圖觸發ASP.NET ViewState反序列化的現象，從而取得初期的存取管道，不過，在部分活動當中，Ref7707利用了SharePoint重大漏洞ToolShell（CVE-2025-53770）來達到目的。Check Point指出，這些駭客於2025年7月就大規模掃描ToolShell，代表他們當時就有能力利用相關漏洞。</p> <p><a href="https://www.ithome.com.tw/news/172974"><strong style="font-size: 22px;">Red Hat被駭致日產汽車2.1萬客戶資料外洩</strong></a></p> <p>日本汽車大廠日產（Nissan）昨（22）日公告，因外包商Red Hat內部系統被駭，導致Nissan在9月間外洩將近2.1萬名客戶資料。</p> <p>日產在10月間接獲Red Hat通報而得知此事，後者負責承包Nissan經銷部門客戶管理系統的開發作業。Red Hat在9月26日偵測發現公司資料伺服器遭人未授權存取，致資料外洩，該公司調查後，確認外洩的資料包括日產福岡分公司的部分客戶資料，並於10月3日通知客戶。</p> <p>這家日本汽車大廠說明，受影響的客戶近2.1萬名，他們曾向日產福岡購買汽車或接受服務的客戶資料。外洩的客戶資訊包括姓名、用於銷售的地址、電話號碼，以及電子郵件等資訊，不包含信用卡資料。Nissan已承諾加強對外包商的監控。</p> <p><a href="https://www.ithome.com.tw/news/172977"><strong style="font-size: 22px;">丹麥指控俄羅斯駭客去年對水務設施發動網路攻擊</strong></a></p> <p>丹麥政府上周指控，2024年及2025年對該國水務設施及當地網站發動網路攻擊者，都是和俄羅斯政府有關的駭客組織所為。</p> <p>12月18日丹麥國防情報局（Danish Defense Intelligence Service，DDIS）指出，2024年對供水廠發動破壞式攻擊的親俄羅斯組織Z-Pentest，以及在2025年初丹麥市長和地方大選後，對該國數個網站發動分散式阻斷服務（DDoS）攻擊的駭客組織NoName057 (16)，都和俄國政府有關連。</p> <p>這項指控呼應了今年年中另一北歐國家挪威的觀點。今年4月駭客入侵挪威水壩控制系統，導致無法控制及關閉Lake Risevatnet水壩的閘門開啟數個小時。挪威當局將事故歸咎於俄羅斯駭客，指其目的是引發恐慌。</p> <p><a href="https://www.ithome.com.tw/news/172979"><strong style="font-size: 22px;">WhatsApp裝置配對功能遭濫用，駭客佯稱進行臉書驗證從事攻擊行動GhostPairing</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GhostPairing-1.png" style="width: 300px; float: right;" /></p> <p>旗下擁有Norton、Avast、Avira等多個防毒軟體品牌的資安公司Gen Digital，最近揭露專門鎖定WhatsApp用戶的網釣攻擊活動GhostPairing，駭客假借發送臉書貼文的通知，聲稱在地方新聞的照片找到受害人為由發送WhatsApp訊息，並留下網釣連結，然而使用者若是依照指示點選及操作，就可能把自己的WhatsApp帳號與駭客的瀏覽器綁定，而讓帳號遭到對方接管。攻擊者將在無須通過身分驗證的情況下，取得完整的對話內容與共用影音資料，甚至進一步冒充用戶對其他人詐欺。這種攻擊活動最早在捷克發現，未來可能會出現在其他地區，對此，該公司呼籲使用者提高警覺，並定期檢查是否有來路不明的裝置與帳號綁定的現象。</p> <p>若是攻擊者得逞，他們就能存取用戶過往的對話內容，並且觀看及下載照片、影片，以及語言訊息，再者，還能從受害人的好友個人檔案收集他人個資，以便進一步濫用或是出售。除此之外，攻擊者還能冒充受害的WhatsApp用戶，向好友及其他人發送訊息，展開另一波攻擊。由於這種手法並非一般的帳號挾持，也沒有竄改密碼或將使用者踢出，他們手機上的App仍正常運作，因此許多受害者不會意識到有其他裝置能存取自己帳號的現象。</p> <p><a href="https://www.ithome.com.tw/news/172970"><strong style="font-size: 22px;">QR Code釣魚鎖定Android平臺，偽物流App載入DocSwap遠端存取木馬</strong></a></p> <p>韓國資安公司ENKI WhiteHat研究人員公開，疑似與北韓駭客組織Kimsuky關聯的Android惡意程式散布行動，近期結合網釣網站與QR Code，誘導使用者在手機端下載並安裝偽裝成物流查件或安全App的Android安裝包，並啟動具遠端存取能力的惡意服務，屬於DocSwap木馬家族的最新變種。</p> <p>研究人員說明，攻擊者會架設模仿包裹配送服務的釣魚頁面，搭配通知彈窗或提示文字引導受害者操作。當使用者以電腦開啟連結時，頁面會宣稱因安全原因無法在電腦查詢，並設計以QR Code引導受害者改用手機掃描開啟。</p> <p>伺服器會依瀏覽器的User-Agent等資訊回應不同內容，要是在Android環境開啟，畫面便會出現偽裝的安全檢查流程與安裝按鈕，引導下載惡意安裝包。由於Android對未知來源安裝通常會顯示警示，報告指出攻擊者會宣稱這是安全且正式的版本，試圖讓使用者忽略提示並完成安裝。</p> <p><a href="https://www.ithome.com.tw/news/172960"><strong style="font-size: 22px;">Google Cloud與Palo Alto Networks簽訂多年合作，提供雲端防火牆、AI安全方案</strong></a></p> <p>Google與資安公司Palo Alto Networks宣布合作，將結合Google Cloud AI雲基礎架構，與Palo Alto Networks AI安全平臺，提供Google Cloud用戶的AI應用安全性，Palo Alto AI服務也將使用Google的AI模型及平臺。</p> <p>這是在雙方既有合作上擴大而成的多年合作，號稱價值數十億美元。在最新合作下，Palo Alto Networks將改用Google Vertex AI平臺和Gemini LLM執行其聊天機器人，同時也將在Google Cloud提供資安工具。第一是Palo Alto今年年初推出的AI安全平臺Prisma AIRS，提供AI模型掃描、態勢管理（posture management）、AI紅隊演練、Runtime安全以及AI代理人安全功能，確保Google Cloud（包括在Vertex AI和Agent Engine）上的企業客戶的AI應用與資料安全。其次是VM系列的AI次世代軟體防火牆（SWFW），可防護公雲、私雲、混合雲及虛擬環境內的深度封包檢測和威脅防護。</p> <p>第三是遠端安全存取平臺Prisma SASE整合Google Cloud，可讓手機、遠端辦公室用戶安全連到Google Cloud原生AI應用，同時在符合安全政策下，使用Google Cloud Interconnected來確保企業串連多個雲及多種應用之間的WAN網路架構。最後，雙方強調兩者整合可提供單一介面（single view of security）全面檢視跨多雲混合環境的安全性。</p> <p><a href="https://www.ithome.com.tw/news/172940"><strong style="font-size: 22px;">Cursor買下AI程式碼審查與協作平臺Graphite</strong></a></p> <p>12月19日AI程式碼編輯器Cursor宣布，已與AI程式碼審查及協作平臺Graphite簽署正式協議，將由Cursor買下Graphite。Graphite全體團隊都將加入Cursor，預計於未來幾周完成合併，雙方並未公布交易金額。</p> <p>Graphite共同創辦人暨執行長Merrill Lutsky認為，過去開發者的限制在於寫程式的速度，但如今的瓶頸已轉移到審查程式碼的速度，AI時代需要一套全新的開發者工具鏈，選擇Cursor是因為彼此對軟體開發的未來、人才密度、速度感及工藝價值上，都有著一致的看法。儘管併購並不在他們原本的規畫中，但與Cursor攜手，將有機會共同打造一個端對端、以AI為核心的開發平臺。</p> <p>Graphite將在原有團隊及產品之下獨立運作，雙方亦預計於未來幾個月無縫整合彼此產品，包括藉由Cursor專長強化Graphite的AI功能；結合Graphite的AI Reviewer與Cursor的Bugbot，打造市場上最強大的AI程式碼審查工具；之後也會揭露全新的產品願景。</p> <p><a href="https://www.ithome.com.tw/news/172987"><strong style="font-size: 22px;">資策會公布2026年十大AI關鍵技術：不實訊息資安將是新型態的資安與數位信任保衛戰</strong></a></p> <p>在AI以勢不可擋的浪潮席捲全球，並且深度重塑各行各業營運模式的今日，資策會軟體院資深總監，同時也是資策會MIC產業情報研究所主任王義智再次與軟體院攜手合作，公布年度研究成果——引領產業前行的「2026年十大AI關鍵技術」。</p> <p>其中一項趨勢，他們提及不實訊息資安的情況，企業組織將面臨新型態資安與數位信任的保衛戰。王義智強調，AI合成技術已衍生出新型態資安風險，使得現有的辨識認證變得無法信任。根據Gartner的研究指出，新興的網路犯罪服務Disinformation-as-a-Service（不實訊息即服務），正運用AI合成技術發布不實內容並驅動社群流量，進而干擾影響政經商業活動。</p> <p>若要對抗這些新興風險，需要建立新型態數位信任鑑識服務，才能抵禦不實訊息並保護企業營運。 </p> <p><a href="https://www.ithome.com.tw/news/172980"><strong style="font-size: 22px;">立院三讀通過AI基本法，明定國科會為基本法主管機關、行政院成立國家AI戰略特別委員會</strong></a></p> <p>行政院今年8月擬定人工智慧基本法（簡稱AI基本法）草案，並送交立法院審議，在黨團協商期間，根據各界意見修訂草案，立院今天（12/23）三讀通過AI基本法。新法明定基本法的主管機關為國科會，並將由行政院成立國家AI戰略委員會，協調、督導全國AI事務。</p> <p>條文中提到，政府應避免AI應用產生的負面影響，包括侵害人民的生命、身體、自由或財產、破壞社會秩序、國家安全及生態環境，並且需防止偏差、歧視、廣告不實、資訊誤導或造假等違法情事。</p> <p>在個資保護方面，基本法也規定，各目的事業主管機關會商個人資料保護主管機關，在人工智慧研發及應用過程，避免不必要的個資蒐集、處理或利用，推動隱私保護預設與設計的相關措施或機制，以保障當事人權益。</p> <p> </p> <p><strong style="font-size: 22px;">其他資安威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-macsync-malware-dropper-evades-macos-gatekeeper-checks/">惡意軟體投放工具MacSync可迴避macOS資安防護機制Gatekeeper檢查</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/university-of-phoenix-data-breach-impacts-nearly-35-million-individuals/">鳳凰城大學傳出遭勒索軟體駭客Clop攻擊，恐波及近3,500萬名人士</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/12/russia-linked-hackers-use-microsoft-365.html">俄羅斯駭客濫用M365裝置驗證碼從事網釣，挾持受害者微軟帳號</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/romanian-water-authority-hit-by-ransomware-attack-over-weekend/">羅馬尼亞水務局傳出遭勒索軟體駭客攻擊，駭客利用BitLocker將檔案加密</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172969"><strong>【12月22日】中國駭客透過GPO於日本與東南亞政府機關部署惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172917"><strong>【12月19日】華碩已終止支援的軟體更新工具漏洞遭到利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172902"><strong>【12月18日】日本電商Askul公布勒索軟體攻擊事故調查結果</strong></a></p> </div></div></div>
2025/12/23 18:28作者周峻佑https://www.ithome.com.tw/news/172989
資策會公布2026年十大AI關鍵技術：AI從虛擬躍入實體，驅動軟體技術的主角
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在人工智慧（AI）以勢不可擋的浪潮席捲全球，並且深度重塑各行各業營運模式的今日，資策會軟體院資深總監，同時也是資策會MIC產業情報研究所主任王義智再次與軟體院攜手合作，公布年度研究成果——引領產業前行的「2026年十大AI關鍵技術」。</p> <p>王義智表示，這已是雙方連續第二年的合作，目的在於為國內業界建立最具權威和公信力的技術平臺。他希望透過這個平臺的建立，讓企業向決策高層爭取資源時，能夠堅定地寫下：「根據MIC跟軟體院公布的十大AI關鍵技術，這個技術方向值得投入，可以成為企業決定申請企畫的時候、要跟老闆們要錢的時候，最具說服力的依據。」</p> <p>當今臺灣產業的現況是不只每個人都會談AI，而且幾乎每間企業都在使用AI。因此，今年的關鍵技術的趨勢設定，毫無疑問地必須將人工智慧（AI）視為軟體技術的主角，「AI已成為驅動所有軟體技術發展的最核心主角。」王義智說。</p> <p>但他也澄清，這份報告的誕生，絕非憑空想像，而是建立在嚴謹且多層次的篩選過程之上，可分成輸入、分析、解釋、前景到輸出等階段。</p> <p>王義智透露，資策會內部大規模地掃描國際研究顧問機構的資料庫，包括檢視arXiv線上論文預覽資料庫、史丹佛大學（Stanford）、麻省理工學院（MIT）、世界經濟論壇（WEF）以及顧能（Gartner）等國際權威單位的研究資料，並結合如陽明交大等學研究網路及國內政策技術發展主軸。</p> <p>在內部執行面上，他指出，資策會也從上百個技術群組精煉出關鍵技術後，再由軟體院的研發主管、總監、主任，以及MIC的專家們，針對數十組AI相關技術進行評估，歷經兩輪專家審議，過程中也出現不斷的爭論和激烈互動，最後，才確認這十大AI關鍵技術，是能夠代表軟體院和MIC有共識的共通觀點。</p> <p>篩選過程綜合考量多個面向：不僅包含技術成熟度（Technological Readiness Level，TRL），也同時評估商業準備度（Commercial Readiness Index，CRI），以及審視研發的肯定性與預期效益。</p> <p>王義智表示，目前最終誕生的十大AI關鍵趨勢，不僅捕捉了當前的技術熱點，更勾勒出臺灣產業未來數年的競爭藍圖。</p> <h2><strong>AI發展的四段進化論，從感知跨越到自主行動</strong></h2> <p>王義智表示，AI將成為軟體技術的發展主軸，他也將AI的發展歷程畫分為四個關鍵階段，首先是鑑別式AI（Discriminative AI），這被視為AI的起點，它能像人類「看得到、聽得到」，並做出基本的判斷，例如語音辨識與影像分析。</p> <p>接著是生成式AI（Generative AI），這是AI開始「起飛」的階段，AI不只理解人類語言、圖像，還能「創造新內容」，主要的應用多在報告撰寫、影片生成和音樂創作等領域。</p> <p>第三個階段，也是當前企業最關注的焦點，是代理式AI（Agentic AI），它代表AI的加速飛行，代理式AI不僅能生成內容，更具備「目標導向」與「自主行動」的能力，例如流程自動化、銷售決策、藥物研發等。</p> <p>王義智同時引述輝達（NVIDIA）執行長黃仁勳的觀點，強調「Agentic AI是當前企業界最重要的發展趨勢之一，」未來可能創造數兆美元的產業，將徹底改變人們的工作方式。</p> <p>最後第四個階段，王義智則引用黃仁勳的預測指出，未來AI的發展趨勢除了聊天、生成、代理，必須再加一個「實體AI」（Physical AI），這也是AI發展的最後階段。</p> <p>他強調，實體AI的突破性在於，它不只是在螢幕前操作，而是在「真實環境」中「自主執行任務」，可應用於自動駕駛、自主搬運車和通用機器人等。王義智強調，這四個階段，構成AI從虛擬世界走向真實世界的完整脈絡。</p> <h2><strong>趨勢一：代理式AI——目標導向的問題解決者</strong></h2> <p>在2026年的十大AI關鍵技術的布局重點中，Agentic AI（代理式AI）具備解決企業實務中複雜問題的能力，王義智引述Appier對於代理式AI的解釋：「代理式AI的本質，是將目標轉化為『可執行的自主式應用與自動化工作流程。』」它必須具備感知（Perception）、推理與計畫（Reasoning and Planning）、行動（Action）以及反思（Reflection）等核心能力。</p> <p>更重要的是，一個完整的「代理式AI」（Agentic AI）必須具備記憶、互動性與持續性，王義智認為，未來幾年的技術熱點還是在Agentic AI。</p> <p>代理式AI的革命性意義在於，它實現AI與AI之間可以彼此溝通、交流和協作任務。王義智舉例說明了這種Agentic Workflow的運作模式，例如在ChatDev的案例中，Agent可以扮演不同的角色，像是PM、工程師、測試、或是品管，並在工作流程中分工合作。</p> <p>當使用者給出指令，例如要求「寫一篇主題X的文章」，Agentic AI會自主規畫，將任務步驟逐段拆解成資料蒐集、內容撰寫和修改潤飾等。王義智指出，不同於傳統大語言模型（LLM）僅能一次性完成任務，Agentic AI具備可協助定義問題、拆解、使用工具，以及自我修正的能力。</p> <p>這種自主性，使得代理式AI能夠在產業中發揮巨大作用，它能透過自主分析和分解任務，來大幅減少對人力的依賴；企業可以運用代理式AI來處理「耗時且重複性的工作」，例如自動化合規性檢查與報告生成。</p> <p>這項技術正在助攻工業5.0，將人機協作融入生產過程，實現更高的韌性與個性化。這也解釋市場何以對Agentic AI商業潛力大為看好，根據市場研究機構Precedence Research預測，全球AI代理市場規模將從2025年的79.2億美元，以45.82%的年均複合成長率（CAGR），飆升至2034年的2360.3 億美元。</p> <h2><strong>趨勢二：AI輔助開發——軟體開發的智慧化共創</strong></h2> <p>隨著AI成為核心驅動力，軟體開發模式也迎來了根本性的變革。第二項關鍵技術就是AI輔助開發（AI-Augmented Development），王義智指出，這種開發方式不只是自動化，而是透過AI模型理解開發者意圖、程式碼結構與業務邏輯，實現「智慧化共創」。</p> <p>他表示，AI輔助開發不只是加速開發，而是重新定義軟體生產的方式，有了AI，軟體開發從專業任務變成「人機共創」的流程，更讓每一位知識工作者都能夠參與創新。</p> <p>AI在軟體生命週期中扮演的角色，早已超越單純的程式撰寫（Coding）。王義智強調，目前國際大廠所發展出來的軟體，幾乎沒有不用AI幫忙生成的，其作用已延伸至需求分析、程式架構設計、測試除錯、維運乃至於文件生成。他說，有了AI的協助，開發效率預計可提升55％以上，而非技術人員可透過自然語言進行開發，節省30至50％的時間。</p> <p>王義智觀察到，由於AI工具的門檻越來越低，這推動了AI開發的「軟體開發民主化」（人人可創造應用），不論低程式碼（Low Code）甚至無程式碼（No Code）相關工具的出現，讓每個人都可以使用AI進行開發，新創創意實驗成本降低，社會創新週期加快。</p> <p>他指出，這種轉變不僅顯著提升了軟體品質與安全性，更將開發週期從以「月」為單位，縮短為「週」甚至「日」，加速了社會創新週期。</p> <h2><strong>趨勢三：不實訊息資安——新型態資安與數位信任的保衛戰</strong></h2> <p>隨著生成式AI技術的普及，其帶來的資安風險也成為企業亟需面對的挑戰。因此，第三項趨勢Disinformation Security（不實訊息資安）的重點，是運用先進技術與策略，去主動偵測、分析、驗證並對抗不實資訊的威脅。</p> <p>王義智強調，AI合成技術已衍生出新型態資安風險，使得現有的辨識認證變得無法信任。根據Gartner的研究指出，新興的網路犯罪服務Disinformation-as-a-Service（不實訊息即服務），正運用AI合成技術發布不實內容並驅動社群流量，進而干擾影響政經商業活動。</p> <p>實際案例包括：利用AI語音模仿老闆聲音要求轉賬而成功的新型詐騙，或是惡意散布衛生紙缺貨等民生恐慌。為了抵禦這些威脅，Disinformation Security涵蓋多種核心技術，例如利用自然語言處理以進行語意分析（Semantic Analysis）矛盾或不和邏輯的內[李宗翰1] 容；進行文本生成偵測（Generated Text Detection）；利用機器學習與深度學習的監督式學習（Supervised Learning）自動分類新的可疑資訊；或進行異常傳播模式偵測（Anomaly Detection）。</p> <p>另外，也可以透過多媒體鑑識技術，運用深度偽造偵測（Deepfake Detection）和數位浮水印（Digital Watermarking）進行內容鑑識；也可以透過社群網路分析（Social Network Analysis），識別意見領袖或超級傳播者，以便在關鍵的節點去阻斷不實訊息的流通。</p> <p>王義智認為，要對抗這些新興風險，需要建立新型態數位信任鑑識服務，才能抵禦不實訊息並保護企業營運。</p> <h2><strong>趨勢四：多模態大語言模型——感知與表達的融合</strong></h2> <p>在AI模型不斷進化的過程中，突破單一模態限制，實現多感官的融合，成為第四項AI關鍵趨勢：多模態大語言模型（Multimodal LLM）。王義智解釋，這類模型可以同時處理文字、影像與影音資料，目前廣泛運用於客服、創作和沉浸式體驗。</p> <p>多模態LLM的技術架構通常包含模態編碼器（Modality Encoder）、模態對齊（Connector）、大型語言模型（LLM）與輸出生成／投影模組（Generator/Projector）。其中，Modality Encoder將不同模態資料對映成向量；Connector則將不同模態向量與文字整合，最終將輸出生成影像、語音和文字等。</p> <p>王義智強調，這種融合的重要性在於它能夠提升語境理解，透過整合文字、圖像和聲音等線索，進行深度推理；並通過多重資料交叉驗證來改善決策品質、減少錯誤；藉由整合不同格式的資料，創造更豐富、多樣化的內容。</p> <p>他也說，多模態大語言模組還能支援語音、手勢等多種輸入，創造更自然的互動體驗，讓溝通更流暢之外，並且擴大應用領域，解決單一模態AI無法處理的跨領域複雜任務。</p> <h2><strong>趨勢五：領域專屬AI模型——專業化的AI模型</strong></h2> <p>王義智堅信，對於臺灣產業而言，最有價值的AI模型，正指向領域專屬生成式AI模型（Domain-Specific GenAI models），因為，網路上所有公開的知識都已經被全球的這些大語言模型學完，因此，唯一珍貴的價值，就是在於產業自身、沒有分享出來的這些專業領域的知識。</p> <p>領域專屬模型專門針對某個產業、領域（domain）、或功能進行大型語言模型訓練、微調或強化，目的是讓模型能在該領域內產生更專業、精準、合規的內容。王義智認為，這項技術是讓AI從「懂語言」進化到「懂產業」的關鍵，不只是讓AI模型更聰明，而是讓產業知識被數位化、被理解和被自動化。</p> <p>對於臺灣這樣擁有產業優勢的地區，發展領域專屬型的AI模型，不僅能將專業知識數位化、普及化，成為推動每個產業轉型與信任落地的核心動能，更是臺灣與世界頂尖大公司在AI領域上競爭並取得機會的最好的方法。</p> <p>然而，這需要克服許多挑戰，王義智表示，包括如何蒐集與精煉特定領域的高品質資料；如何對領域型的產業模型資料進行微調與強化，具備更高準確度與上下文理解力；如何快速結合外部企業的知識庫與即時檢索工具，確保模型能產生可驗證、合規且最新的專業內容。</p> <p>此外，領域評測與合規機制也是重要的核心，他舉例，不管在醫療、法律、金融、電信等各行各業，都有其精緻且深入的要求，以專業標準與法規建立評測機制，確保生成結果的可靠性、安全性和合規性。</p> <p>王義智表示，該項技術對不同產業都帶來實質效益，例如透過法律專屬領域的AI，可以做到自動生成合規契約草案與法律摘要，可以從根本上減少條文錯誤、引用不準確的合規風險。</p> <h2><strong>趨勢六：小語言模型——輕量化的AI模型</strong></h2> <p>相較於動輒數千億筆參數量的大語言模型（LLM），王義智認為，在2026年的AI關鍵技術中，也必須要關注更為輕量化、追求效率和有利於邊緣運算、參數數量小於10億筆的小語言模型（Small Language Model，SLM）。</p> <p>王義智觀察到，AI參數的發展趨勢呈現「K字形」分叉，一條持續往上，另一條則往下發展至小語言模型、開放源碼（Open Source）、特定領域和邊緣運算（Edge）端的語言模型，而這兩條路各有不同用途。</p> <p>他進一步解釋，小語言模型崛起的動機在於：龐大的LLM很耗能，且成本高昂。對於許多很絕對性、很產業性或在邊緣端（Edge）的任務，若使用那些部署在雲端、過於龐大的模型，反而會比較慢。</p> <p>所以，具備輕量、高效能、高安全性、可客製化優勢的小語言模型（SLM），就是專為在資源受限設備中，進行推論與私域部署而設計的模型。</p> <p>模型輕量化的關鍵在於，可以透過知識蒸餾（Knowledge Distillation，KD）、參數剪枝（Pruning）、量化（Quantization）、低秩分解（Low-Rank Decomposition，LRD）和動態推論等技術達成語言模型輕量化的目標。</p> <p>但是，小語言模型要做到高效能推論，就必須做到：優化模型架構、運算圖優化、精確量化與混合運算、邊緣端硬體加速和記憶體優化等；而任務導向訓練則有賴任務定義與資料選擇、微調（Fine-tuning）、少樣本與增強訓練、多任務與遷移學習、評測導向訓練等作法才能達成目標。</p> <p>王義智強調，小語言模型在低算力、高效能的目標下，成為可持續AI發展的關鍵；同時，由於它能實現即時互動的速度，並在本地端執行，因此降低了資料外洩的風險，特別適合例如醫療、金融等個資敏感領域的應用，並推動了AI微服務化，形成輕量AI模組可插拔生態，提升產品迭代速度。</p> <h2><strong>趨勢七：大型語言模型維運——AI全生命週期的治理</strong></h2> <p>王義智對企業導入AI的現狀提出嚴肅提醒，他提到，有報告指出有95%的企業導入AI，卻沒有獲得好的投資回報（Return）。</p> <p>他深入分析，主要原因在於許多企業導入AI是「為了AI而AI」，沒有嵌入企業流程，也沒有實際解決問題；此外，大量的概念驗證（POC）彼此孤立，沒有與企業的整體藍圖（Roadmap）連結，形成了另外一種孤島（Silo）。</p> <p>為了消除這種孤島效應，王義智認為，大型語言模型維運（Large Language Model Operations，LLMOps）則是必然發展的趨勢。</p> <p>他表示，LLMOps是一組專業化的方法、技術和工具，專門用於解決將大型語言模型（LLMs）部署到實際應用中的營運層面問題，涵蓋實驗、迭代、部署、持續改進等全部流程。</p> <p>LLMOps的重要性在於它能應對LLM的獨特複雜性與挑戰，這對於將LLM應用成功推向商業產品至關重要。例如：針對LLM與生俱來的非確定性（Non-deterministic），意指：相同的輸入卻可能產生不同的輸出，這就需要專門的評估和測試方法解決；它也關注提示工程（Prompt Engineering）的重要性，以確保獲得正確且一致的回應，並降低幻覺、提示注入攻擊和越獄等風險。</p> <p>透過持續的模型監控，LLMOps框架將安全與危害視為評估的關鍵目標，對於保護企業的財務和品牌形象極為重要，例如，可以透過持續的模型監控與設計測試資料集，識別像是越獄等潛在的惡意攻擊和模型漂移；也可以藉由保護敏感資訊、落實GDPR（歐盟一般資料保護規則）和CCPA（加州消費者隱私保護法）的合規性，防止意外暴露公司機敏資料。</p> <p>LLMOps簡化數據管理和擴展，對於需要監督、控制和監控數千個模型以實現持續整合和部署（CI/CD）的環境至關重要；透過模型監控持續追蹤系統性能，並在發現模型漂移或性能下降時發出警報，就能確保LLM應用程式在面對高流量和持續變化的資訊流時，仍能保持穩定和回應能力，從而實現「可擴展性」與「可靠部署」的目標。</p> <h2><strong>趨勢八：負責任的AI——以信任為核心的AI風險管理</strong></h2> <p>與LLMOps確保模型的營運健康度相對應的，是第八項趨勢：負責任的AI（Responsible AI），它是一個以信任為核心的風險導向全生命週期治理框架。王義智指出，負責任的AI強調：AI倫理評估、模型公平性與偏誤檢測機制，都有助於推動負責任AI應用，包含AI OWASP Top 10 Validation。</p> <p>在資安與風險方面，王義智提到了駭人聽聞的案例：最近發生了超大規模的AI攻擊事件，有駭客集團利用AI工具去攻擊全球數十家政府和企業。這證明AI：既可用於防守，也可被用於攻擊。因此，他強調，如何建立可信任、可負責的AI，降低公平性、偏差的風險，是一個重點。</p> <p>負責任的AI涵蓋了多種關鍵檢測類別，例如，可進行自動化、半自動化技術性驗證的準確性、可靠性、公平性、資安、隱私；以及可透過佐證文件進行人工查核驗證的透明性、可解釋性、當責性、安全性和彈性。</p> <p>王義智舉例，資策會便協助台電檢測AI智能客服，是否存在「幻覺」（亂說話）或是否符合知識庫規範。他還指出，AI的「幻覺」現象對於駭客集團來講，也是很麻煩的事情，因為有企業證明，駭客聲稱拿到的機密資訊，其實是AI的幻覺產物，他說：「這突顯了建立信任管理制度的必要性。」</p> <p>此外，避免法律與財務責任也是重點，例如，加拿大航空就因為聊天機器人提供顧客不正確建議而被罰款。</p> <h2><strong>趨勢九：實體AI——終極目標是解決八成人類問題</strong></h2> <p>最具前瞻性和社會影響力的，就是第九項趨勢：實體AI（Physical AI）。王義智指出，這項技術代表了未來AI終極發展的方向，其核心是結合實體與AI，具備感知、推理、計畫與執行實體行動的能力，主要應用包含人形機器人、自動駕駛、無人機和自主移動載具等。</p> <p>王義智以輝達（Nvidia）執行長黃仁勳在臺北國際電腦展（Computex Taipei）演說時的實體AI（Physical AI），來描述「AI與物理世界互動」的科技趨勢，進一步強調，實體AI的關鍵技術包括感知能力中具備的、能提升環境理解的「感測融合」（Sensor Fusion）能力，和能做到即時地圖、物體追蹤的「環境建模」（World model）能力。</p> <p>而推理能力中則必須具備「思維鏈」（Chain of Thought）和建立環境的內部模擬能力（Simulation-based Reasoning）；需要長短期記憶來進行任務規畫（High level action planning）和動作規畫（Low level motion planning）的能力，以及能做到橫跨每個環節控制（End-to-End control）的VLA（視覺─語言─行動）模型來執行動作。</p> <p>在談及重要性時，王義智強調，虛擬世界的問題只占全部問題的兩成，而真實世界的問題則占了全世界問題的八成。因此，他認為，一定要發展實體AI，才能夠解決大部分人類的問題。</p> <p>王義智指出，實體AI開啟了「由Physical AI驅動的自動化2.0」時代，將傳統自動化（automation）進化到具備理解、互動與自主決策能力的智能化（intelligent automation）。</p> <p>他以製造業為例，鴻海總裁劉揚偉正在美國興建的AI伺服器工廠，該廠將會是全球首座用人型機器人去做AI伺服器的工廠，這正是「用AI做AI，用AI管理AI，用AI生成AI」的具體實現，對於產業發展也會有重大影響。</p> <p>此外，資策會的研發目標之一，便是要實現智慧、人本的「AI智能輪椅」等人本行動載具。他表示，這些載具的設計理念，是從被動執行指令，進化到能自主理解與行動，可以在長照機構、博物館或醫院等場域應用，並透過與人共存的社交導航，能安全地在人群中行走，並能彌補人力不足情形及降低照護負擔，進而改善生活品質。</p> <h2><strong>趨勢十：高能效AI基礎架構——永續AI的生死線</strong></h2> <p>最後一項關鍵趨勢，也是AI持續發展的根本限制：高能效AI基礎架構（Energy-Efficient AI Infrastructure）。王義智直言，AI的能耗問題已是重大挑戰，根據國際能源署（IEA）統計，大型AI模型（如ChatGPT或Gemini）的訓練，一次可消耗超過數百萬度電。</p> <p>隨著AI應用普及，AI基礎設施的能源占比，將在2030年前成為資料中心主要耗能來源。他認為，企業若不採取節能、高能效的技術，AI產業的碳排放將可能超越航空業。</p> <p>這使得綠色AI（Green AI）將成為AI發展的新準則，如歐盟《AI Act》、日本《GX推進戰略》等各國政策，都強調低碳AI研發的重要性。王義智表示，一旦將能源效率提升到戰略高度，「誰能減少多少能源，誰就會勝出」；當能源消耗降低，企業的採購意願和市場接受度也會隨之提升。</p> <p>核心技術包括先進的冷卻／熱管理解決方案，例如，利用液體直接帶走熱量的液冷（Liquid Cooling），以及將伺服器完全浸入電絕緣液中的浸沒冷卻（Immersion Cooling）的方法，能做到顯著減少冷卻所需風扇／空調能耗。</p> <p>要做到動態與智慧控制／AI驅動優化，可以採用AI／ML驅動的冷卻與暖通空調（HVAC）控制，透過感測器蒐集的資料（伺服器負載、空氣進風溫度、濕度、外部氣候條件等）動態調整風扇速度、冷卻液流率，以及空調／冷水機組的設置點，避免過度冷卻與空轉。</p> <p>他認為，高能效AI不僅能顯著降低資料中心的運轉成本（電力與冷卻成本約占總支出的40％），更能擴展AI的應用邊界，使AI能夠在邊緣端、太空和無人系統等能源受限的場域中運行，並驅動新一代的AI應用，例如：智慧車載系統、無人機群控、遠端醫療監測等，擴展AI的應用邊界。</p> <h2><strong>企業AI轉型的關鍵要素：工具、策略、素養缺一不可</strong></h2> <p>王義智為企業總結了成功導入AI的三大關鍵：工具、策略、素養，三者更是缺一不可。他指出，缺乏清晰的AI策略，企業將會失去方向；沒有合適的AI工具，AI就無法落地實踐（implement）；而如果沒有普及的AI素養（literacy），則無法真正解決問題。</p> <p>為了讓AI在各行各業發揮最大效益，企業必須擁有「AI-ready的資料」，因為「No Data，No AI」已是鐵律。王義智透過其同仁在年初CES展帶回的震撼觀察，強烈暗示了AI已然成為無所不在（ubiquitous）的技術。根據資策會同仁的回報，在展場上遇到的「狗的機器人」、「人的機器人」甚至比實體的人還要多，這說明了AI的全面滲透。</p> <p>王義智表示，資策會這份十大AI關鍵技術報告，希望能為臺灣產業提供完整的藍圖，這場由AI領銜的技術革命，從虛擬世界的代理人（Agent AI）到實體世界的行動載具（Physical AI），從開發流程的優化（LLMOps），再到背後的倫理（Responsible AI）與能源治理（Energy Efficiency），則進入了決勝AI的實戰階段。</p> <p>王義智認為，企業必須在發展速度、專業深度與倫理高度上取得平衡，才能成為AI時代的真正贏家。</p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%A4%A7%E8%AA%9E%E8%A8%80%E6%A8%A1%E5%9E%8B%E5%92%8C%E5%B0%8F%E8%AA%9E%E8%A8%80%E6%A8%A1%E5%9E%8B%E6%AF%94%E8%BC%83_AI%E8%A3%BD%E5%9C%96.png" style="width: 600px;" /></p> <blockquote><p>AI製圖</p> <p>資料來源：資策會軟體院、MIC，2025年12月</p> </blockquote> </div></div></div>
2025/12/23 16:58作者黃彥棻https://www.ithome.com.tw/news/172987
Firefox附加元件遭攻擊行動GhostPoster入侵，用PNG圖示藏惡意JavaScript程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者Koi Security<a href="https://www.koi.ai/blog/inside-ghostposter-how-a-png-icon-infected-50-000-firefox-browser-users">揭露</a>一波名為GhostPoster的惡意擴充套件攻擊行動，鎖定Firefox附加元件生態系。攻擊者把惡意JavaScript藏進附加元件的PNG圖示檔尾端，在附加元件載入時才讀取與抽出執行，進而在使用者瀏覽器內植入後門與追蹤機制。研究人員統計，相關活動至少涉及17款附加元件，累計安裝量超過5萬次。</p> <p>研究人員先是在名為Free VPN Forever的附加元件中觀察到異常行為。該附加元件會讀取自身logo.png，表面上像是一般載入資源，但程式接著對圖示原始位元組做額外處理，藉此找出被夾帶在檔尾端的程式碼。研究人員指出，審查流程往往更容易聚焦在可執行程式碼檔案，攻擊者因此把第一階段載入器藏在看似無害的圖示檔內，讓圖示正常顯示的同時，也能在附加元件載入時抽出並執行隱藏程式碼。</p> <p>從圖示中抽出的程式碼主要負責連回攻擊者的C2伺服器，再下載真正的惡意載荷。研究人員提到，相關附加元件會透過延後啟動與間歇性連線來躲避觀測，例如在啟動後約每48小時才嘗試回連，且僅約10%的回連會實際取回下一階段惡意載荷。</p> <p>GhostPoster不像傳統以破壞為主的惡意程式，研究人員分析指出，惡意載荷具多項能力，包含監控瀏覽行為、注入追蹤、在電商網站把聯盟行銷連結改寫成攻擊者的分潤連結，並以隱形元素或隱形框架在背景載入外部內容，可能被用於廣告或點擊詐欺。惡意程式還會移除部分網站回應中的安全標頭，削弱瀏覽器原本用來降低跨站腳本與點擊劫持的防護。</p> <p>研究人員將這起事件歸類為多款附加元件共用同一套攻擊基礎設施的行動，相關樣本雖以不同功能與包裝上架，背後卻指向相同的指揮控制網域與通訊模式，呈現出同一波操作者持續擴散的跡象。相關惡意附加元件已從市集中下架，但已安裝的使用者仍可能持續受影響。</p> <p>Firefox使用者應立即盤點已安裝的附加元件，特別是來路不明、主打免費VPN或宣稱可大幅提升瀏覽體驗者，發現與研究列出的受影響清單相符應立即移除，並留意是否出現不明轉址等異常行為，同時可考慮重設重要帳號密碼，以降低後續風險。</p> </div></div></div>
2025/12/23 17:33作者李建興https://www.ithome.com.tw/news/172985
中國駭客Ref7707鎖定歐洲政府機關而來，綁架受害組織IIS與SharePoint主機充當C2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>被稱為Ref7707、CL-STA-0049、Earth Alux，以及Jewelbug的中國駭客組織，近期傳出有新一波的攻擊活動受到關注，<strong><a href="https://www.ithome.com.tw/news/172797">他們打造名為NanoRemote的惡意程式</a></strong>，並濫用Google Drive的API充當C2，以及藏匿惡意軟體檔案的管道。如今傳出這些駭客擴張攻擊範圍，從東南亞及南美洲，延伸到歐洲與其他地區。</p> <p>資安公司Check Point揭露Ref7707（該公司稱為Ink Dragon）<strong><a href="https://research.checkpoint.com/2025/ink-dragons-relay-network-and-offensive-operation/">針對歐洲的攻擊行動</a></strong>。這些駭客從2023年開始，多次鎖定政府機關、電信業者，以及公營事業基礎設施下手，主要的攻擊多半出現在東南亞及南美洲，不過，他們近期對歐洲與其他地區帶來的威脅，變得越來越嚴重。這些駭客活動的主要特徵，是綁架受害組織的網路環境，用於建構大型分散式中繼網路。駭客在受害組織部署名為ShadowPad的IIS監聽模組，將被滲透的伺服器轉化成能接收指令並轉發的通訊節點，使得他們的行蹤變得更難以捉摸。</p> <p>針對這些駭客入侵受害組織的過程，他們通常會運用曾被外洩的金鑰，試圖觸發ASP.NET ViewState反序列化的現象，從而取得初期的存取管道，不過，在部分活動當中，Ref7707利用了SharePoint重大漏洞ToolShell（CVE-2025-53770）來達到目的。Check Point指出，這些駭客於2025年7月就大規模掃描ToolShell，代表他們當時就有能力利用相關漏洞。</p> <p>一旦成功進入受害組織的內部網路環境，他們就會試圖從IIS應用程式與服務挖掘憑證與組態資料，進行權限提升，並且掌握積極活動的管理員連線，藉此取得伺服器的本機管理憑證，從而得到完整的系統控制，並透過RDP隧道、工作排程，以及能管理開機啟動項目的有效酬載，建立持久的遠端存取通道。由於許多企業組織為管理方便，在不同網段重複使用服務憑證，使得駭客只要能取得其中一組IIS憑證，就有機會在其IIS伺服器通過身分驗證。</p> <p>接著，他們進行橫向移動，使用惡意程式ShadowPad或FinalDraft的變種，透過SMB等通訊協定散布。為了能持續於受害伺服器活動，Ref7707通常會利用工作排程，或是部署服務來進行。為了掩人耳目，駭客也會重新命名各階段的可執行檔，偽裝成Windows內建的公用程式，這些執行檔大多具備AMD、Realtek，以及Nvidia等廠商的數位簽章。再者，他們透過漏洞利用、憑證與LSASS擷取，以及閒置的連線階段（Session）提升權限，並在電腦植入後門程式FinalDraft。</p> <p>附帶一提的是，駭客也竄改受害伺服器的防火牆規則，使得這些主機能廣泛將流量發出，並在Windows作業系統內建的防毒軟體Microsoft Defender套用，從而將受害主機納入中繼網路。他們透過IIS監聽模組來控制這些受害伺服器。</p> <p>針對這波攻擊駭客使用的新版FinalDraft，此為功能完整的遠端管理工具（RAT木馬），攻擊者可搭配擴充模組使用，並處理代理伺服器網路流量，攻擊者透過微軟的Graph API，濫用雲端電子郵件服務Outlook充當C2，進行命令的交換。</p> <p>惡意軟體FinalDraft的活動最早可追溯到2024年11月，揭露此事的資料搜尋及分析公司Elastic發現，<a href="https://www.ithome.com.tw/news/167382">當時Ref7707針對南美國家外交部而來</a>，再者，駭客也著手開發Linux版FinalDraft。</p> </div></div></div>
2025/12/23 16:43作者周峻佑https://www.ithome.com.tw/news/172984
NuGet出現14惡意套件，仿冒加密工具與Google廣告API竊取機密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安業者ReversingLabs<a href="https://www.reversinglabs.com/blog/nuget-malware-crypto-oauth-tokens">發布研究</a>指出，攻擊者從7月起陸續在NuGet上架14個的惡意套件，多數偽裝成.NET加密貨幣相關函式庫與工具，另有套件仿冒Google Ads API。這些套件的目的包括竊取錢包敏感資料，或在交易流程中改寫收款地址轉走資金，同時也可能竊取Google Ads開發者權杖與OAuth用戶端識別等機密資訊。</p> <p>這波追查始於研究人員10月發現的Netherеum.All，該套件仿冒以太坊整合函式庫Nethereum，並利用同形字讓名稱幾乎難以分辨。研究團隊後續比對發現，多個NuGet帳號分批上架的套件在惡意行為與程式碼特徵上高度一致，且多半複製合法功能並把惡意程式碼藏在少數關鍵流程，提高人工檢視與自動偵測難度。</p> <p>研究人員總共發現14個套件，可依惡意負載分成三類，第一類占最多數，目的在蒐集錢包相關敏感資料，包含私鑰與助記詞等，一旦外流足以讓攻擊者取得錢包控制權並移轉資產。第二類則把惡意邏輯包進交易相關流程，讓程式在送出交易時把原本的收款地址改寫為攻擊者地址，達到資金被轉走的效果。第三類鎖定Google Ads開發情境，竊取開發者權杖、OAuth用戶端識別與用戶端密鑰等機密資訊，可能讓攻擊者取得對Google Ads帳號的程式化存取權限，用於讀取成效資料，甚至建立或修改廣告並增加不當支出。</p> <p>為了提高成功率，攻擊者並非只靠拼字相近的套件名稱，研究人員指出，這些套件還利用同形字混淆視覺辨識，並透過短時間密集發布新版本與灌水下載數，營造出開發者持續維護與被大量採用的假象。</p> <p>針對開發流程下手的惡意套件，研究人員提醒，危害不只停在單一開發者電腦。當專案把相依套件封裝進應用程式並對外發布，惡意邏輯可能隨著產品一路下游擴散，影響使用者與組織的資產與帳務安全。開發者安裝套件前除了比對名稱與作者，也應回頭看發布時間與版本變動是否合理，並留意套件是否出現不明的外部連線或可疑混淆程式碼，以降低把風險引入正式程式碼庫的機率。</p> <p>研究人員也提到，NuGet平臺的惡意套件偵測量先前一度下降，從去年34個降到2025年前10個月僅2個。該落差可能讓部分開發者誤以為風險趨緩。</p> </div></div></div>
2025/12/23 17:12作者李建興https://www.ithome.com.tw/news/172982
WhatsApp裝置配對功能遭濫用，駭客佯稱進行臉書驗證從事攻擊行動GhostPairing
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>在許多鎖定即時通訊軟體用戶的攻擊行動裡，駭客通常會運用已知或未知的資安漏洞來達到目的，不過最近有一起針對即時通訊軟體的裝置連結機制而來的網釣攻擊，引起資安公司注意。</p> <p>旗下擁有Norton、Avast、Avira等多個防毒軟體品牌的資安公司Gen Digital，最近揭露<strong><a href="https://www.gendigital.com/blog/insights/research/ghostpairing-whatsapp-attack">專門鎖定WhatsApp用戶的網釣攻擊活動GhostPairing</a></strong>，駭客假借發送臉書貼文的通知，聲稱在地方新聞的照片找到受害人為由發送WhatsApp訊息，並留下網釣連結，然而使用者若是依照指示點選及操作，就可能幫駭客為瀏覽器綁定自己的WhatsApp帳號，而讓帳號遭到對方接管。攻擊者將在無須通過身分驗證的情況下，取得完整的對話內容與共用影音資料，甚至進一步冒充用戶對其他人詐欺。這種攻擊活動最早在捷克發現，未來可能會出現在其他地區，對此，該公司呼籲使用者提高警覺，並定期檢查是否有來路不明的裝置與帳號綁定的現象。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GhostPairing-1.png" style="width: 376px;" /></p> <p>基本上，WhatsApp的帳號是以手機的電話號碼為基礎，若是用戶想要使用電腦版應用程式或網頁版WhatsApp，他們通常會開啟手機版應用程式，掃描電腦上的QR Code，或是在電腦上取得驗證碼，然後輸入手機，才能綁定裝置來使用電腦版或網頁版WhatsApp。攻擊者將上述流程加以包裝，讓使用者以為在存取臉書照片並通過必要的身分驗證流程，實際上卻是幫駭客的裝置（或瀏覽器）與自己的WhatsApp帳號連結。</p> <p>針對GhostPairing的攻擊流程，一旦使用者看到簡訊並點選連結，他們就會被帶往冒牌臉書網頁，要求必須通過身分驗證才能看到照片，網頁通常會要求使用者提供電話號碼，一旦輸入，網頁就會將資料傳送給合法的WhatsApp連結裝置服務，使得攻擊者能取得配對碼，並顯示在網頁上，要求使用者在WhatsApp輸入才能完成驗證並檢視相片。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GhostPairing-3.png" style="width: 554px; height: 624px;" /></p> <p>流程大致分成5個階段：</p> <p>1.受害者在冒牌臉書網頁輸入電話號碼</p> <p>2.網頁將收到的號碼傳送至WhatsApp，使用以電話號碼連結裝置的功能</p> <p>3.WhatsApp產生理應只有帳號所有人才能看到的配對碼給攻擊者（裝置端）</p> <p>4.上述的假臉書網頁顯示配對碼，要求受害者在手機版WhatsApp應用程式輸入</p> <p>5.此時受害者開啟App，就會看到配對提示的通知訊息，他們可能會誤以為是臉書的身分驗證流程，就依照攻擊者指示輸入配對碼</p> <p><a href="https://s4.itho.me/sites/default/files/images/GhostPairing-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GhostPairing-4.png" style="width: 472px;" /></a></p> <p>若是攻擊者得逞，他們就能存取用戶過往的對話內容，並且觀看及下載照片、影片，以及語言訊息，再者，還能從受害人的好友個人檔案收集他人個資，以便進一步濫用或是出售。除此之外，攻擊者還能冒充受害的WhatsApp用戶，向好友及其他人發送訊息，展開另一波攻擊。由於這種手法並非一般的帳號挾持，也沒有竄改密碼或將使用者踢出，他們手機上的App仍正常運作，因此許多受害者不會意識到有其他裝置能存取自己帳號的現象。</p> <p>根據駭客使用的網域和網站範本，Gen Digital認為相關攻擊是採用可重複使用的網釣套件來進行，而且，在多個網域都呈現相同的網頁排版，並重複使用臉書檢視器的形式，僅有少許變化。攻擊者使用的網域名稱，通常會包含photo或post的字串，並搭配隨機的頂級網域（TLD）。一旦原本的網域遭到檢舉或是封鎖，攻擊者很快就能使用另一個網域取代。</p> </div></div></div>
2025/12/23 12:32作者周峻佑https://www.ithome.com.tw/news/172979
OpenAI在ChatGPT中推出年度回顧功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>OpenAI本周一（12/22）正式於ChatGPT中推出<a href="https://help.openai.com/en/articles/6825453-chatgpt-release-notes" target="_blank">Your Year with ChatGPT年度回顧功能</a>，在年終時推出該服務，以讓使用者回顧2025年與ChatGPT的互動方式，內容將呈現使用者對話中的高層次主題，以及全年使用情況的摘要統計資料。</p> <p>ChatGPT的年度回顧功能適用於Free、Plus與Pro用戶，但不適用於Business、Enterprise或Edu方案；初期僅支援美國、英國、加拿大、澳洲及紐西蘭的英文回顧。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1223-Your%20Year%20with%20ChatGPT-1.jpg" style="width: 360px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p>此外，使用者必須啟用「記憶」與「參考聊天紀錄」功能才能執行該服務，而且需要達到最低使用門檻，若使用很有限，只會看到基本的聊天統計資訊。一旦使用者的狀態符合條件，系統就會在ChatGPT首頁出現Your Year with ChatGPT的提示卡，點擊後就可進入回顧內容。</p> <p>此一功能的定位偏向年度總覽與使用反省，而非分析工具，而且就算其它市場或語言尚未出現Your Year with ChatGPT，ChatGPT用戶依舊可以要求它模擬年度回顧，它也能提供使用者與ChatGPT的互動模式、互動頻率與節奏等資料。</p> <p>在邁入數位時代之後，許多服務都具備了總結用戶每年使用概況的功能，像是Spotify與Apple Music的音樂回顧功能，以及YouTube與Twitch的觀看回顧等。</p> </div></div></div>
2025/12/23 13:33作者陳曉莉https://www.ithome.com.tw/news/172981
南韓要求明年3月起開通手機門號，需經過臉部辨識驗證身分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.msit.go.kr/bbs/view.do?sCode=user&mId=307&mPid=208&pageIndex=&bbsSeqNo=94&nttSeqNo=3186671&searchOpt=ALL&searchTxt=" target="_blank">南韓政府宣布</a>從明年3月底開始，消費者開通手機門號需先完成臉部辨識檢證身分，以防範網路詐騙或簡訊釣魚行為。</p> <p>韓國科學技術資訊通信部（簡稱「科技部」）部長裴京勳（Bae Kyunghoon）今日（12/22）宣布，將要求韓國三大行動營運商，包括SKT、KT、LGU+及其他行動電信商在其手機註冊流程中，引入臉部辨識過程。</p> <p>除了現有和身分證件簽發機構關聯驗證身分外，還將增加生物辨識認證，即時比對身分證件上的人臉照片與持證人實際臉部。韓國科技部相信這將有助於防止身分證借人、冒用，或身分證及手機帳戶偽造。當局並強調，使用雙重驗證，駭客利用攻擊或其他手段取得的身分資訊偽造手機帳戶，即SIM卡交換（SIM Swapping）將更加困難。此外，人臉辨識也可驗證身分證件真實性，防止使用身分證明影本。</p> <p>這項措施預定從2026年3月23日正式實施，並提前三個月啟動測試。三大電信業者將在本周三（12/23）開始試辦線下註冊服務，消費者可在實體店面完成驗證。韓國政府也提供非面對面（輸入SIM卡號碼）結合人臉驗證的註冊方法。</p> <p>這項新政策是因應韓國數起重大資料外洩事件而推出。今年4月SK Telecom（SKT）爆發惡意軟體攻擊而外洩用戶個資。<a href="https://www.ithome.com.tw/news/169076" target="_blank">該公司事後調查</a>，確認有9.82 GB檔案外流，內含近2700萬個國際行動用戶識別碼（IMSI）。其次是韓國最大電商<a href="https://www.ithome.com.tw/news/172539" target="_blank">酷澎12月發生</a>疑似員工存取內部系統，導致3370多萬名客戶姓名以及通訊資料外洩。</p> </div></div></div>
2025/12/23 11:29作者林妍溱https://www.ithome.com.tw/news/172976
丹麥指控俄羅斯駭客去年對水務設施發動網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.fe-ddis.dk/globalassets/fe/dokumenter/2025/-russia-responsible-for-cyber-attacks-.pdf" target="_blank">丹麥政府上周指控</a>2024年及2025年分別對該國水務設施及當地網站發動網路攻擊者，都是和俄羅斯政府有關的駭客組織所為。</p> <p>丹麥國防情報局（Danish Defense Intelligence Service，DDIS）指出，2024年對供水廠發動破壞式攻擊的親俄羅斯組織Z-Pentest，以及在2025年初丹麥市長和地方大選後，對該國數個網站發動分散式阻斷服務（DDoS）攻擊的駭客組織NoName057 (16)都和俄國政府有關連。</p> <p>丹麥政府相信，俄羅斯指使二個組織發動攻擊，是其對西方國家的混合戰（hybrid war）手段的一部份，目的在對特定國家擾亂人心並懲罰支持烏克蘭的國家。</p> <p>丹麥政府相信，俄羅斯的網路攻擊也是企圖顛覆西方國家支持烏克蘭的整體計畫的一環，因為如同其他歐洲國家遭到的攻擊，俄羅斯也利用丹麥大選來吸引大眾注意。</p> <p>丹麥政府的指控呼應了今年年中另一北歐國家挪威的觀點。今年4月駭客入侵挪威水壩控制系統，導致無法控制及關閉Lake Risevatnet水壩的閘門開啟數個小時。挪威當局將事故歸咎於俄羅斯駭客，指其目的是引發恐慌。</p> <p>上周其他歐洲國家也發現可能為俄羅斯攻擊的事件。法國逮捕涉嫌對內政部發動網攻、成功存取電子郵件系統的22歲男子。法國內政部長Laurent Nunez<a href="https://www.ithome.com.tw/news/172840" target="_blank">聲稱</a>不排除是外國勢力干預。所指也是俄羅斯。同時間法國<a href="https://www.ithome.com.tw/news/172918" target="_blank">逮捕</a>企圖駭入義大利籍渡輪的資料系統的人士，一名拉脫維亞船員涉嫌為不明外國勢力行動，試圖存取船上的資料處理系統。法國及其他烏克蘭的歐洲盟國都指控俄羅斯利用破壞、暗殺、網路攻擊、假訊息及其他敵對行動，對歐洲各國發動混合戰爭。</p> </div></div></div>
2025/12/23 11:58作者林妍溱https://www.ithome.com.tw/news/172977
蘋果的程式追蹤透明化規定遭義大利判罰上億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://en.agcm.it/en/media/press-releases/2025/12/A561" target="_blank">義大利競爭管理局AGCM周一（12/22）向蘋果處以</a>98,635,416.67歐元（約1.16億美元）的罰款，原因是蘋果濫用市場主導地位，藉由程式追蹤透明化（App Tracking Transparency，ATT）政策來阻礙市場競爭。蘋果將對此提出上訴。</p> <p>蘋果是在2021年4月釋出的iOS 14.5正式推出ATT，要求程式要追蹤使用者時必須先取得許可，不管是跨程式追蹤、跨網站追蹤，或是分享追蹤資料予第三方，都要先徵求用戶同意。</p> <p>然而，AGCM指出，蘋果要求第三方程式必須透過ATT提示取得用戶的明確同意，才能出於廣告目的來蒐集及聯結資料，但此一提示並不符合隱私權法令的要求，迫使開發者必須針對相同目的重複向使用者請求同意。</p> <p>這是因為蘋果的ATT提示僅有概括性的「是否允許追蹤」選項，未完整揭露資料蒐集的具體用途、資料類型、串聯方式與接收對象，未能符合歐盟隱私法對有效同意的要求，因此第三方開發者仍須另行設計隱私告知與同意流程，再次向使用者請求同意，導致同一廣告目的出現雙重同意。</p> <p>另一方面，Apple自家程式與服務是在帳號或系統層級完成隱私告知與同意，例如透過Apple ID設定或服務首次啟用流程，一次說明資料用途與控制方式，取得可被視為完整有效的同意。由於不需先經過ATT系統提示，Apple自身不會出現因ATT不足而必須再補一次同意的雙重請求結構。</p> <p>這使得AGCM認為蘋果單方面的ATT政策條款損害其商業合作夥伴的利益，且其相關條款與蘋果所宣稱的資料保護目標不成比例，進而損害了那些依賴廣告銷售獲利的開發者、廣告主及廣告仲介平臺的權益，構成具剝削性的支配地位濫用。</p> <p><a href="https://www.reuters.com/sustainability/boards-policy-regulation/italys-antitrust-fines-apple-alleged-abuse-dominant-position-with-app-store-2025-12-22/" target="_blank">路透社（Reuters）</a>引用蘋果聲明指出，AGCM的決定無視ATT提出所提供的重要隱私保護，而且該規則同時適用於包含蘋果在內的所有開發者，將對此一決定提出上訴。</p> </div></div></div>
2025/12/23 12:09作者陳曉莉https://www.ithome.com.tw/news/172978
Alphabet將以47.5億美元買下乾淨能源公司Intersect
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>Google母公司<a href="https://abc.xyz/investor/news/news-details/2025/Alphabet-Announces-Agreement-to-Acquire-Intersect-to-Advance-U-S--Energy-Innovation-2025-DVIuVDM9wW/default.aspx" target="_blank">Alphabet周一（12/22）宣布</a>，將以47.5億美元收購美國能源與資料中心基礎設施開發商Intersect Power（Intersect），以加速資料中心及發電產能的部署。雙方預計於2026年上半年完成交易。</p> <p>Intersect成立於2016年，專門針對資料中心及高耗能產業開發「能源與算力共址」的基礎設施，亦即在資料中心附近直接建置專屬的發電及儲能設施，以降低併網等待、提高供電確定性，並加快資料中心上線速度，其能源組合涵蓋太陽能，電池儲能，以及燃氣發電，也將逐步導入低碳及進階能源技術。</p> <p>Google已在上一輪的公開募資中取得Intersect的少數股權，此次Alphabet除以現金完成交易外，也將承擔Intersect的既有債務，並讓Intersect持續以獨立公司形式營運，由共同創辦人暨現任執行長Sheldon Kimber繼續領導。</p> <p>不過，此次雙方的交易內容僅包括Intersect團隊，以及Intersect與Google所合作的、正開發中的多個GW級能源與資料中心專案，例如正在施工中、位於德州Haskell郡的資料中心暨電力共址專案。Intersect於德州既有的營運資產，以及在加州正在開發或既有的營運資產皆未包含在內。</p> <p>被剝離的資產將由Intersect既有投資人支持，並持續興建多項大型能源設施，其中包括全球規模最大的電池儲能系統，另以一家獨立公司繼續經營並服務現有客戶。</p> <p><a href="https://www.intersect.com/blog/intersect-announces-agreement-to-be-acquired-by-google" target="_blank">Kimber表示</a>，AI的發展因著美國最古老的產業之一──電力而受限，美國擁有大量因電力不足而無法啟動的GPU，這些電網就像是拼湊而成的作業系統，在一世紀以前堪稱工程奇蹟的電力系統已無法適應AI時代。</p> <p>交易完成後，Intersect將專注於開發、建置及經營全美最具野心的電力及資料基礎設施。Kimber認為，新一代資料中心的能源解決方案將是集中再生能源、備用電源、儲能系統與資料中心，以加快電力供應速度並釋放稀缺的輸電能力。</p> </div></div></div>
2025/12/23 10:17作者陳曉莉https://www.ithome.com.tw/news/172975
Red Hat公司被駭致日產汽車2.1萬客戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>日本汽車大廠日產<a href="https://www3.nissan.co.jp/siteinfo/information_251205.html" target="_blank">（Nissan）昨（22）日公告</a>，因外包商Red Hat內部系統被駭，導致Nissan在9月間外洩將近2.1萬名客戶資料。</p> <p>Nissan在10月間接獲Red Hat通報而得知此事，後者負責承包Nissan經銷部門客戶管理系統的開發作業。Red Hat在9月26日偵測發現公司資料伺服器遭人未授權存取，致資料外洩，該公司調查後，確認外洩的資料包括Nissan福岡分公司的部分客戶資料，並於10月3日通知客戶。</p> <p>Nissan已於10月初向日本個資保護委員會通報，也正對受影響的客戶通知此事。</p> <p>這家日本汽車大廠說明，受影響的客戶主要是將近2.1萬名，曾向日產福岡購買汽車或接受服務的客戶資料。外洩的客戶資訊包括姓名、用於銷售的地址、電話號碼、部份電子郵件等資訊，但不包含信用卡資料。Nissan已承諾加強對外包商的監控。</p> <p>Red Hat事件發生在9月底。名為Crimson Collective的駭客組織<a href="https://www.anomali.com/blog/red-hat-security-incident-crimson-collective-breach" target="_blank">宣稱駭入</a>Red Hat內網的GitHub儲存庫，竊走包括內含客戶網路環境資訊的800份客戶互動報告、顧問文件、配置資料及Red Hat企業客戶驗證憑證資訊共將近570 GB壓縮檔。Red Hat也證實資安事件。</p> <p>外洩敏感資料的企業除了Nissan，可能還有不少。根據駭客公布的Red Hat客戶互動報告清單，受影響的客戶皆為業界龍頭，包括美國銀行、匯豐、花旗等金融服務業；AT&T、T-Mobile、Verizon等電信；Kaiser Permanente、CVS、Mayo Clinic、UnitedHealth集團；汽車業包含福斯、Stellantis；Walmart、Costco；甚至包含美國國土安全部、聯邦飛航管理委員會（FAA）、美國太空總署（NASA）動力推進實驗室、詹森太空中心等。</p> <p>8月底Nissan還遭遇另一起資安事件。勒索軟體駭客組織Qilin將Nissan汽車旗下的設計公司Creative Box Inc.（CBI）列入受害名單，<a href="https://www.ithome.com.tw/news/170849" target="_blank">聲稱</a>從該公司竊得內部資料，規模為4 TB。Nissan汽車發言人證實已有設計資料外洩。</p> </div></div></div>
2025/12/23 09:45作者林妍溱https://www.ithome.com.tw/news/172974
微軟公開預覽Copilot C++程式碼編輯工具，加速Visual Studio跨檔案重構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>微軟<a href="https://devblogs.microsoft.com/cppblog/c-code-editing-tools-for-github-copilot-now-in-public-preview/">GitHub Copilot的C++程式碼編輯工具</a>進入公開預覽階段，並在最新版Visual Studio 2026 Insiders向C++使用者開放。該更新鎖定大型專案常見的跨檔重構，讓Copilot在多檔案修改時，能運用符號語意資料而不只依賴文字搜尋，以降低遺漏與錯誤風險。<br /> <br /> 在大型C++專案裡，重構往往牽一髮動全身。函式簽章、型別或介面一旦調整，相關呼叫點與衍生類別可能散落在大量檔案中，開發者需要反覆搜尋再逐一修補，不只耗時也容易遺漏。微軟指出，C++開發者長期面臨的痛點，正是大規模重構的成本與風險。</p> <p>GitHub Copilot的C++程式碼編輯工具目標便是解決這個痛點。微軟將Visual Studio C++語言服務可提供的符號（Symbol）語意資訊，整合成Copilot代理模式可呼叫的工具，使代理模式能先掌握符號的引用位置，以及型別、宣告與作用域等中繼資料，進而更可靠地完成跨檔修改。</p> <p>公開預覽版本提供四項符號查詢工具，分別對應符號資訊、引用查找、類別繼承彙整與呼叫鏈追蹤，底層工具名稱為get_symbol_info、get_symbol_references、get_symbol_class_hierarchy與get_symbol_call_hierarchy。 </p> <p>微軟以多個情境說明其用途，包括為既有函式新增參數或功能並同步更新所有呼叫點，調整容器或指標型別以改善記憶體管理，以及在陌生程式碼庫中快速釐清類別結構與呼叫關係，協助新成員縮短理解時間。</p> <p>由於仍在公開預覽，微軟提醒工具名稱與介面可能變動，同時建議使用者使用時提供清楚且具體的提示詞，並盡量明確指出相關符號，以提高工具呼叫的效果。微軟預告將持續深化與Visual Studio工具鏈的整合，並評估把支援擴展到其他Copilot介面例如VS Code。</p> </div></div></div>
2025/12/23 08:38作者李建興https://www.ithome.com.tw/news/172973
YouTube幽靈網路新攻勢，以Node.js載入器散布Rhadamanthys竊資程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>資安廠商Check Point研究人員<a href="https://research.checkpoint.com/2025/gachiloader-node-js-malware-with-api-tracing/">公開</a>其追蹤的YouTube幽靈網路新一波活動，利用遭入侵的YouTube帳號上架影片，引導觀眾下載遊戲外掛與破解軟體相關檔案，最終在受害Windows電腦散布Rhadamanthys竊資程式。研究人員在感染鏈中辨識出以Node.js撰寫且高度混淆的載入器GachiLoader，並開源一套用於動態追蹤Node.js惡意程式行為的分析工具Nodejs-Tracer。</p> <p>這波YouTube幽靈網路活動由遭入侵帳號發布影片，內容以外掛與破解器等題材吸引特定族群點擊。影片說明欄會提供壓縮檔密碼，並常要求使用者關閉Windows Defender等指示，研究人員統計，與此活動相關的影片超過百支，累積約22萬次觀看，分散在39個遭入侵帳號，第一支影片上傳時間為2024年12月22日，研究人員研判這波活動已持續一段時間。</p> <p>在通報YouTube後，多數影片已下架，但也指出攻擊者仍可能轉移到新的遭入侵帳號，持續以相同手法散布內容。</p> <p>研究人員將這次的載入器命名為GachiLoader，是用來散布後續惡意程式的中繼程式，而非最終竊資程式本體。GachiLoader採用Node.js平臺，並透過nexe打包器把Node.js執行環境與混淆後的JavaScript程式碼封裝成單一可執行檔，使其可在未安裝Node.js的主機上直接執行，檔案大小約60 MB到90 MB。由於受害者往往以為自己正在下載並安裝某種工具或軟體包，這類體積較大的檔案不一定會立刻引發疑慮。</p> <p>高度混淆的Node.js惡意程式難以靠靜態分析快速還原行為，因此研究人員也公開了Nodejs-Tracer，透過動態追蹤方式記錄Node.js核心模組呼叫，並能在分析時偽造部分呼叫的回傳結果，以協助繞過常見的反分析檢查。同時，工具也能把惡意程式寫入或下載的檔案與網路請求線索保留下來，供分析者掌握其通訊與散布行為。</p> <p>研究人員還提到，GachiLoader在部分樣本中會散布第二階段載入器Kidkadi，並觀察到一種過去未見公開文件完整描述的可移植的可執行檔注入作法。研究人員將其稱為Vectored Overloading，其核心概念是利用向量化例外處理機制配合硬體中斷點，在載入合法動態連結函式庫DLL的流程中，誘導Windows載入器把原本應載入的映像檔對應到記憶體中的惡意內容。研究人員也釋出概念性驗證程式，供研究社群理解這項手法並用於測試偵測能力。</p> </div></div></div>
2025/12/23 08:56作者李建興https://www.ithome.com.tw/news/172972
QR Code釣魚鎖定Android平臺，偽物流App載入DocSwap遠端存取木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p>南韓資安公司ENKI WhiteHat研究人員<a href="https://www.enki.co.kr/en/media-center/blog/kimsuky-distributing-malicious-mobile-app-via-qr-code">公開</a>，疑似與北韓駭客組織Kimsuky關聯的一波Android惡意程式散布行動，近期結合網釣網站與QR Code導流，誘導使用者在手機端下載並安裝偽裝成物流查件或安全App的Android安裝包，並啟動具遠端存取能力的惡意服務，屬於DocSwap木馬家族的最新變種。</p> <p>研究人員說明，攻擊者會架設模仿包裹配送服務的釣魚頁面，搭配通知彈窗或提示文字引導受害者操作。當使用者以電腦開啟連結時，頁面會宣稱因安全原因無法在電腦查詢，並設計以QR Code引導受害者改用手機掃描開啟。</p> <p>伺服器會依瀏覽器的User-Agent等資訊回應不同內容，要是在Android環境開啟，畫面便會出現偽裝的安全檢查流程與安裝按鈕，引導下載惡意安裝包。由於Android對未知來源安裝通常會顯示警示，報告指出攻擊者會宣稱這是安全且正式的版本，試圖讓使用者忽略提示並完成安裝。</p> <p>受害者下載看似物流通知應用程式，實際是載入器，啟動後會從自身資源取出被加密的內嵌安裝包，改用原生程式庫解密與載入，最後註冊常駐服務，讓手機在背景運作DocSwap遠端存取木馬。研究人員指出，該服務具備蒐集資訊與遠端操控的特徵，並可能濫用Android無障礙服務進行鍵盤側錄等行為。為降低警覺，惡意程式會顯示一次性驗證碼之類的驗證介面，流程後再導向真實的物流查詢頁面，讓受害者誤以為只是一般查詢操作。</p> <p>除物流偽裝外，研究團隊也看到相近手法被包裝成拍賣物流驗證、虛擬私人網路或加密貨幣空投驗證等不同主題，並在部分伺服器上同時存在與入口網站或通訊服務帳號登入相關的網釣頁面，顯示攻擊者可能同步蒐集帳密資訊。</p> <p>研究人員掌握多項可相互佐證的跡象，包含指揮控制與網釣基礎設施的重疊，以及網頁程式碼中出現韓文註解與錯誤訊息等，據此研判活動與Kimsuky存在高度關聯。至於最初連結如何送達受害者，研究人員未能給出定論，但研判可能透過簡訊網釣或釣魚郵件投遞。</p> <p>研究人員建議，要是收到要求掃描QR Code或引導安裝應用程式的配送通知，應改以官方應用程式或手動輸入官網網址查詢，避免直接點擊不明連結。同時也應留意App索取的權限是否合理，如果出現與物流查件無關的檔案存取、簡訊或電話等權限要求，便需提高警覺。</p> </div></div></div>
2025/12/23 08:00作者李建興https://www.ithome.com.tw/news/172970
【資安日報】12月22日，中國駭客透過GPO於日本與東南亞政府機關部署惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"><p><a href="https://www.ithome.com.tw/news/172966"><strong style="font-size: 22px;">中國駭客LongNosedGoblin鎖定東南亞及日本政府機構下手，透過微軟和Google雲端檔案共享服務隱匿行蹤</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/LongNosedGoblin-1-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/LongNosedGoblin-1-1.png" style="width: 300px; float: right;" /></a></p> <p>資安公司ESET揭露名為LongNosedGoblin的中國駭客組織，相關活動約從2023年9月開始，鎖定東南亞及日本政府機關從事網路間諜活動，其攻擊活動的主要特徵，在部署惡意軟體的過程會運用群組原則物件（GPO），並且濫用OneDrive與Google Drive等雲端服務充當C2通訊的管道。特別的是，他們運用一種稱作NosyHistorian的工具，從瀏覽器收集上網記錄，來判斷哪些電腦較具價值，並植入更多惡意程式，例如：後門程式NosyDoor、竊資軟體NosyStealer、惡意軟體下載工具NosyDownloader，以及鍵盤側錄工具NosyLogger，而這一批工具，主要由C#與.NET應用程式組合而成。</p> <p>針對這些駭客的行蹤發現過程，起初ESET在2024年2月於某個東南亞政府機構發現NosyHistorian，用途是於受害組織部署NosyDoor，而與其他國家級駭客網路間諜活動有所不同，惡意軟體是經由GPO進行部署。ESET進一步調查，發現其他感染NosyHistorian的受害組織，不過，僅有少部分同時被植入NosyDoor。後續LongNosedGoblin積極在東南亞犯案，散布NosyDownloader，到了2024年12月，日本出現新的NosyHistorian，不過，之後駭客就沒有進一步的活動。</p> <p>直到2025年9月，相關活動再度於東南亞出現，在這波活動裡，LongNosedGoblin使用Cobalt Strike的方式存在共通點，他們都會在其中一臺電腦下載惡意程式載入工具oci.dll，並從磁碟載入檔名為ocapi.edb的有效酬載，隨後，駭客利用GPO將Cobalt Strike載入工具部署到特定電腦。</p> <p><a href="https://www.ithome.com.tw/news/172955"><strong style="font-size: 22px;">2.2萬臺Fortinet設備存在FortiCloud SSO程式碼執行漏洞，臺灣近200臺機器曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G8h9wS4XQAAoa3g.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/G8h9wS4XQAAoa3g.jpg" style="width: 300px; float: right;" /></a></p> <p>12月9日資安公司Fortinet揭露兩個重大層級的資安漏洞CVE-2025-59718與CVE-2025-59719（CVSS風險皆評為9.8分），影響範圍涵蓋防火牆作業系統FortiOS、FortiWeb、網頁安全閘道FortiProxy，以及網路設備集中管理平臺FortiSwitchManager。這些漏洞影響啟動FortiCloud單一簽入（SSO）機制的設備，只要管理員為裝置登錄到技術支援服務平臺FortiCare，該單一簽入功能就會自動啟用，而使得裝置曝露相關風險引起關注。事隔3天，有資安公司警告出現漏洞利用活動，現在有資安機構警告，仍有大量設備尚未修補而可能曝險。</p> <p>12月19日Shadowserver基金會提出警告，全球在18日有25,071臺Fortinet設備存在CVE-2025-59718與CVE-2025-59719，隔日數量出現下滑，有21,938臺。根據地區的分布，美洲7,684臺和亞洲6,807臺最多；以國家而言，則是以美國的4,579臺最多，印度的1,471臺次之。值得留意的是，臺灣也有187臺Fortinet設備曝險。</p> <p><a href="https://www.ithome.com.tw/news/172935"><strong style="font-size: 22px;">HPE修補基礎架構管理軟體OneView滿分遠端程式碼執行漏洞</strong></a></p> <p>HPE基礎架構管理軟體OneView存在可由遠端未經驗證攻擊者濫用的遠端程式碼執行漏洞CVE-2025-37164，CVSS 3.1評分10.0。受影響版本涵蓋所有早於v11.00的HPE OneView版本，HPE現已釋出可套用於v5.20至v10.20的安全熱修補程式，並建議用戶升級至已修補的v11.00或更新版本。</p> <p>官方提醒，要是設備從OneView v6.60.xx升級到v7.00.00，或在HPE Synergy Composer上進行映像重建或回復，需重新套用熱修補。由於OneView虛擬設備與Synergy Composer存在各自獨立的熱修補套件，需分別下載與安裝。HPE官方公告未提供漏洞具體技術細節，也未提及是否觀察到漏洞遭實際利用，且暫時未提供其他對外緩解措施。</p> <p>資安業者Rapid7初步分析熱修補內容時指出，修補的方向之一是在OneView的網頁伺服器層加入新的HTTP規則，用於阻擋對特定REST API端點的未授權存取。Rapid懷疑該REST API端點在未登入狀態下就能被呼叫，是漏洞可能遭濫用的入口。</p> <p><a href="https://www.ithome.com.tw/news/172916"><strong style="font-size: 22px;">殭屍網路Kimwolf挾持180萬臺連網電視，意圖發動大規模DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/kimwolf_sinkhole.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/kimwolf_sinkhole.png" style="width: 300px; float: right;" /></a></p> <p>惡意軟體針對智慧電視或電視盒裝置的情況，並不常見，不過最近有資安公司發現，與Aisuru有關的殭屍網路，竟出現綁架大量連網電視及電視盒的情況。</p> <p>中國資安公司奇安信揭露感染超過180萬臺裝置的大型殭屍網路Kimwolf，主要綁架的標的，就是執行安卓作業系統的電視盒，光是在12月3日至5日，奇安信就觀察到約270萬個來源IP位址，保守估計感染設備數量突破180萬臺。由於這些設備分布在全球222個國家及多個時區，加上電視盒和智慧電視裝置通常設置於家庭環境，不會使用固定IP位址，而且還會受到用戶使用習慣影響，因此，所有受害裝置不會同時連線，實際感染規模難以估算。</p> <p>關於被綁架的裝置是否因為有特定CVE漏洞而成為目標，奇安信並未提出說明，不過他們提及這些設備的韌體普遍存在漏洞、預載惡意軟體、採用弱密碼，以及缺乏資安更新機制的現象，並列出其中8種最常被針對的設備型號，但部分名稱（如TV BOX）難以判斷電視盒的廠牌或是型號。</p> <p><a href="https://www.ithome.com.tw/news/172939"><strong style="font-size: 22px;">大規模掃描鎖定Palo Alto Networks及思科SSL VPN閘道而來，駭客從事密碼潑灑活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6942f55a2c1cf4f3ff0d3b8e_GreyNoise-Palo-Alto-Login-Scanner-Dec1725.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/6942f55a2c1cf4f3ff0d3b8e_GreyNoise-Palo-Alto-Login-Scanner-Dec1725.png" style="width: 300px; float: right;" /></a></p> <p>鎖定Palo Alto Networks旗下的SSL VPN平臺GlobalProtect的大規模掃描活動，一個月內已出現兩起，現在又有另一波新活動引起注意。</p> <p>威脅情報公司GreyNoise發出警告，他們在12月中旬偵測到為期兩天的自動化帳密掃描活動，駭客先後鎖定Palo Alto Networks與思科的SSL VPN身分驗證基礎設施，大規模利用指令碼嘗試登入。他們在11日看到專門針對GlobalProtect入口網站的自動登入嘗試，在16小時產生約170萬的連線（Session），主要針對美國、巴基斯坦，以及墨西哥。這些攻擊來自10,335個IP位址，流量幾乎都來自德國主機代管業者3xK GmbH。GreyNoise提及，有別於許多攻擊行動透過分散的端點，這次都集中透過雲端代管基礎設施來進行。</p> <p>我們也透過公關窗口向Palo Alto Networks進一步詢問，該公司表示已得知GreyNoise的調查結果，強調這波攻擊是針對弱密碼的自動化嘗試登入，不構成利用GlobalProtect漏洞，或是相關環境被入侵的情況，呼籲用戶遵循最佳實務，採用強密碼及多因素驗證（MFA）。</p> <p><a href="https://www.ithome.com.tw/news/172938"><strong style="font-size: 22px;">PostgreSQL管理工具pgAdmin爆RCE重大漏洞</strong></a></p> <p>廣泛用於PostgreSQL環境的開源管理工具pgAdmin存在一項重大資安漏洞CVE-2025-13780，可能導致遠端程式碼執行。該漏洞影響以伺服器模式運作的pgAdmin，並涉及資料庫還原流程的安全性，對企業資料庫環境構成高度風險。</p> <p>CVE-2025-13780影響pgAdmin 9.10以及之前版本。NVD評定屬於高風險等級漏洞（CVSS分數8.8）；不過PostgreSQL將其列為重大等級（CVSS分數9.1），顯示該漏洞一旦遭利用，後果可能相當嚴重。</p> <p>資安媒體Daily CyberSecurity進一步說明，CVE-2025-13780漏洞可繞過pgAdmin開發團隊原本用於修補CVE-2025-12762的安全機制。攻擊者可將看似正常的資料庫還原流程武器化，在主機上執行任意指令。</p> <p><a href="https://www.ithome.com.tw/news/172900"><strong style="font-size: 22px;">OpenShift GitOps存在重大提權漏洞，多租戶叢集恐遭跨命名空間接管</strong></a></p> <p>Red Hat公開OpenShift GitOps重大提權弱點CVE-2025-13888，指出在既有權限條件下，攻擊者可能突破命名空間隔離並擴張授權範圍，最嚴重導致叢集層級接管。此風險在多租戶或分權管理環境特別高，Red Hat已釋出對應分支更新並建議升級後檢視相關權限綁定。</p> <p>該漏洞由Red Hat提供CVSS 3.1基礎分數9.1，在NVD被列為重大（Critical）層級，攻擊者雖需具備較高既有權限，然而一旦成功，影響會跨越原本授權範圍並對機密性、完整性，以及可用性造成高衝擊。 </p> <p>根據Bugzilla的漏洞描述，問題核心在於OpenShift GitOps運算子處理ArgoCD自訂資源的方式，導致命名空間隔離可能被繞過。回報內容指出，只要使用者在自己可管理的命名空間內，具備建立ArgoCD自訂資源的權限，就可能透過設定讓運算子接管其他命名空間的部分管理關係，進而在目標命名空間建立對應的權限綁定。當目標命名空間本身具備較寬鬆或特權的安全性內容限制條件（Security Context Constraints，SCC）時，該權限路徑便可能被放大，成為叢集層級接管的跳板。 </p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=170533&SPOKE_DATE=20251221&COMPANY_ID=8112"><strong style="font-size: 22px;">電子業者至上資訊系統遭遇網路攻擊</strong></a></p> <p>12月21日傍晚半導體元件代理與經銷商至上發布資安重訊，指出資訊系統出現遭到駭客攻擊的情況，公司立即啟動相關防禦機制因應，根據初步調查，目前沒有個資、機密，或重要文件外洩的情況發生，對公司營運無重大影響。</p> <p><a href="https://www.ithome.com.tw/news/172936"><strong style="font-size: 22px;">2025印尼遭網攻次數冠於亞太地區，臺灣資安產業正在提供協助</strong></a></p> <p>在2025年11月底，資安廠商Fortinet在臺發表2026全球資安威脅預測報告，順勢揭露亞太地區今年1至9月的資安威脅態勢，由於身處全球地緣政治衝突的第一線，面臨的惡意活動攻擊數量向來居高不下，但令人訝異的是，臺灣竟不是亞太地區第一名，而是印尼。</p> <p>為何如此？當特定國家與地區偵測到的惡意活動數量極高，可能有兩個原因，一是當地面臨的網路攻擊活動非常頻繁或大量，再加上此區域建置的Fortinet資安產品夠多，為了進一步了解印尼資安市場狀況，我們會後詢問Fortinet的看法，而由於近期臺灣多家資安廠商積極投入東南亞市場的拓展與經營，我們也請他們解讀這個現象。</p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-kibana-vulnerabilities/">資料圖像化分析平臺Kibana存在跨網站指令碼漏洞，攻擊者有機會嵌入惡意指令碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/roundcube-alert-high-severity-svg-xss-and-css-sanitizer-flaws-threaten-webmail-privacy/">郵件伺服器Roundcube存在跨網站指令碼漏洞，攻擊者恐透過看似無害的郵件觸發</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/rusts-first-breach-cve-2025-68260-marks-the-first-rust-vulnerability-in-the-linux-kernel/">Linux核心首度出現Rust程式碼漏洞，恐導致系統當機</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/watchguard-warns-of-new-rce-flaw-in-firebox-firewalls-exploited-in-attacks/">WatchGuard防火牆存在遠端程式碼執行漏洞，並警告已被用於實際攻擊行動</a></strong></p> <p> </p> <p><strong>近期資安日報</strong></p> <p><a href="https://www.ithome.com.tw/news/172917"><strong>【12月19日】華碩已終止支援的軟體更新工具漏洞遭到利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172902"><strong>【12月18日】日本電商Askul公布勒索軟體攻擊事故調查結果</strong></a></p> <p><a href="https://www.ithome.com.tw/news/172883"><strong>【12月17日】MITRE公布最危險的漏洞類型，XSS居冠</strong></a></p> </div></div></div>
2025/12/22 16:47作者周峻佑https://www.ithome.com.tw/news/172969